Windows VPN-profilomfang: nuværende bruger eller alle brugere?
Omfanget afgør, hvor en indbygget Windows VPN-profil gemmes, og hvem der kan se den. Det gør ikke forbindelsen til en enhedstunnel og deler ikke legitimationsoplysninger.
Du kører en kommando mod en VPN-profil, den returnerer ingen fejl, og den forbindelse, brugeren starter, opfører sig præcis som før. Intet er i stykker. Windows opbevarer indbyggede VPN-profiler i to lagre, og du redigerede det, der ikke er i brug. Det samme viste navn kan findes i begge, og det er derfor, et script ser ud til at lykkes, mens brugerens forbindelse ignorerer enhver ændring, du har lavet.
Løsningen er ikke et bedre script; den er at navngive omfanget, før du navngiver profilen.
Symptomet og de to lagre
Windows opbevarer indbyggede VPN-profiler i en telefonbog for hver bruger og i en maskinomfattende telefonbog for alle brugere. Get-VpnConnection læser den nuværende brugers lager, og Get-VpnConnection -AllUserConnection læser maskinens.
En profil oprettet med -AllUserConnection vises for hver konto på maskinen og kræver en forhøjet session for at blive oprettet eller fjernet. En profil oprettet uden den tilhører den konto, der kørte kommandoen, og en anden bruger, der logger ind, ser slet intet. Begge kan bære det samme navn, og ingen af dem advarer dig om, at den anden findes. Derfor ligner symptomet en lydløs fejl i stedet for en fejlmeddelelse.
Hvad omfanget faktisk afgør
Omfanget besvarer to spørgsmål og nægter at besvare et tredje:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Det er de sidste to rækker, folk tager fejl af. En profil for alle brugere er lagring med maskinomfang, ikke en maskinidentitet, og den gør ikke i sig selv forbindelsen tilgængelig, før nogen logger ind. En Windows Always On enhedstunnel er en separat konfiguration med sine egne krav til certifikat og profil. Omfang handler om, hvem der kan se en profil, ikke om, hvad maskinen er.
Synlighed er ikke godkendelse
En profil for alle brugere kræver stadig en understøttet ordning for identitet og legitimationsoplysninger. At gøre profilen synlig for hver konto gør ikke hver konto til den samme godkendte bruger, og den samler ikke legitimationsoplysninger.
Hvis designet kræver tunnelen oppe før login, er svaret en enhedstunnel frem for et bredere profilomfang. Hvis designet kræver, at hver person fremviser sit eget certifikat, passer en profil for hver bruger bedre til den model, fordi en maskinomfattende profil ikke kan fremvise legitimationsoplysninger, der tilhører en anden.
Udrulning og ejerskab af politik
På administrerede maskiner kan en EMM eller en konfigurationsprofil genskabe den gemte tilstand efter din ændring.
Det er ikke en fejl i dit script; det er to ejere, der skriver til samme lager. Koordiner omfanget med den, der ejer politikken, og foretræk at ændre politikken frem for at køre din kommando igen efter en tidsplan. En lokal rettelse, der konkurrerer med politik, giver en maskine, hvor profilen ser korrekt ud indtil næste synkronisering.
Hvad du skal logge, når det går i stykker
Log tre ting sammen: profilnavnet, det omfang du sigtede efter, og den faktiske forbindelsesfejl.
En rute eller et certifikat anvendt på en profil i det andet lager retter ikke den, brugeren starter, og fejlteksten vil fortsat pege på forbindelsen i stedet for på din redigering. Efter en godkendt ændring skal du genoprette forbindelsen via det tilsigtede indgangspunkt og undersøge den anvendte routing samt de gemte indstillinger. Profillageret svarer på, hvad der er tilgængeligt, mens den aktive forbindelse svarer på, hvad enheden gør nu.
Microsofts dokumentation for Add-VpnConnection viser omfangsskifteren ved siden af de parametre, den ændrer, hvilket er en nyttig påmindelse om, at omfang er en beslutning, der træffes ved oprettelsen, ikke en indstilling, du skifter senere.