Welches Telefonbuch durchsucht eine SYSTEM-Aufgabe nach VPN-Profilen?

Ihr VPN-Profil steht direkt in den Einstellungen, und die geplante Aufgabe meldet weiterhin, dass sie die Verbindung nicht finden kann. Nichts ist beschädigt: Der native Windows-VPN-Speicher gilt pro Benutzer, sofern das Profil nicht als Profil für alle Benutzer erstellt wurde, und eine Aufgabe läuft unter dem Konto, das ihr Principal angibt. Die Aufgabe liest meist ein Telefonbuch, das Ihr Profil nie enthielt. Zwei Befehle und eine Aufgabeneinstellung genügen als Beweis, und sie lohnen sich, bevor jemand die Verbindung neu aufbaut.

Zwei Speicher enthalten denselben Profilnamen

Ein natives Windows-VPN-Profil liegt im Speicher des Kontos, das es erstellt hat. Der globale Speicher ist ein anderes Telefonbuch, das nur gefüllt wird, wenn das Profil mit dem Schalter für alle Benutzer in einer erhöhten Sitzung erstellt wird. Beide können ein Profil mit demselben Namen enthalten, und keiner ist eine Ansicht des anderen.

Lesen Sie beide Speicher aus derselben Sitzung und vergleichen Sie die Namen, die sie zurückgeben. Der Schalter wählt den globalen Speicher, und das Lesen erfordert in der Regel eine erhöhte Sitzung:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType

Wenn der erste Befehl das Profil auflistet und der zweite nicht, hilft keine Änderung der Anmeldeinformationen einer Aufgabe, die unter einem anderen Konto läuft, denn die Mitgliedschaft ist das Problem und nicht die Authentifizierung. Wenn beide es auflisten, ist der Speicher nicht die Ursache, und der nächste Abschnitt gilt. Dieser eine Vergleich schließt die Hälfte dieser Tickets. Notieren Sie, welcher Speicher geantwortet hat und unter welchem Konto Sie die Prüfung ausgeführt haben, denn die Antwort ist ohne beide Fakten bedeutungslos.

Lesen Sie den Principal der Aufgabe vor ihren Anmeldeinformationen

Öffnen Sie die Aufgabe und lesen Sie den Principal, denn er sagt Ihnen, welchen Speicher die Aufgabe sehen kann. Eine Aufgabe, die als SYSTEM läuft, ist nicht Ihr Konto mit zusätzlichen Rechten: Sie hat ein eigenes Profil und keinen Zugriff auf das Telefonbuch pro Benutzer, das Sie bei der Anmeldung erstellt haben. Ein Dienstkonto verhält sich genauso.

Die Option, unabhängig von der Anmeldung zu laufen, ändert das ebenfalls, denn dann hat die Aufgabe keine interaktive Sitzung, deren Anmeldeinformationen sie ausleihen könnte. Lassen Sie die Aktion whoami in eine Datei schreiben und lesen Sie die Antwort, statt sie anzunehmen.

Diagnosedaten von Ihrem eigenen Terminal sagen nichts über dieses Problem aus, denn sie zeigen, was Ihr Konto sieht. Führen Sie den Vergleich unter der Identität der Aufgabe über das dafür genehmigte Verfahren aus. Ausgaben, die aus einer Administratorkonsole eingefügt werden, sind ein anderer Datensatz, kein privilegierterer. Gibt es kein solches Verfahren, muss die Aufgabe die Antwort selbst protokollieren, was der letzte Abschnitt einrichtet.

Das Profil zu finden heißt nicht, sich anzumelden

Ein Profil für alle Benutzer macht die Konfiguration breiter sichtbar. Es trägt nicht das gespeicherte Kennwort des Kontos, das es erstellt hat, und es übergibt einem anderen Konto nicht den privaten Schlüssel, der in Ihrem Benutzerprofil gespeichert ist. Sichtbarkeit und nutzbare Anmeldeinformationen sind zwei getrennte Prüfungen, und die erste zu bestehen sagt nichts über die zweite.

Wenn die Aufgabe das Profil nun findet und bei der Authentifizierung scheitert, ist das ein Fortschritt, und die Phase gehört in die Aufzeichnung. Verschieben Sie das Zertifikat in den Computerspeicher, oder liefern Sie das Geheimnis über den eigenen Mechanismus der Bereitstellung, statt den Verbindungsnamen erneut anzulegen. Ein erneutes Anlegen erzeugt denselben Fehler mit einem neueren Zeitstempel. Microsoft dokumentiert die beiden Bereiche , zwischen denen der Cmdlet-Schalter wählt.

Nicht interaktive Aufforderungen sind die Falle hinter dieser Phase. Eine PIN-Abfrage oder ein Einmalcode kann eine Aufgabe ohne Desktop nicht beantworten, sodass ein Profil, das von Hand einwandfrei wählt, unter Automatisierung unbrauchbar sein kann.

Vier Felder, die die Aufgabenaufzeichnung braucht

Halten Sie die Werte, die das Ergebnis bestimmen, an einer Stelle zusammen, denn drei davon bleiben meist implizit. Die Aufzeichnung braucht vier Zeilen:

• Aktionspfad: das Skript oder die ausführbare Datei, die die Aufgabe startet, keine Verknüpfung, die für ein anderes Konto anders aufgelöst wird.
• Profilname: die genaue Zeichenkette, denn zwei Speicher können denselben Namen enthalten, der auf verschiedene Server zeigt.
• Principal: das Konto, unter dem die Aufgabe läuft, und ob es eine interaktive Sitzung hat.
• Authentifizierungsmethode: was dieser Principal tatsächlich abschließen kann, etwa ein Zertifikat aus dem Computerspeicher statt eines Schlüssels in Ihrem Benutzerprofil.

Diese vier Zeilen beantworten die Frage, die das Ticket eigentlich stellt, nämlich welche Konfiguration die Automatisierung verwendet hat. Sie überstehen auch den nächsten Neuaufbau der Aufgabe, wenn der ursprüngliche Autor nicht mehr da ist, um zu erklären, warum der Name wichtig war. Ohne sie kehrt derselbe Fehler nach der nächsten Bereitstellung zurück und kostet erneut dieselben Stunden.

Ermitteln Sie die Phase, die die Aufgabe erreicht hat

Instrumentieren Sie die Aktion, statt aus dem Ergebnis des letzten Laufs zu raten. Ein kurzer Wrapper protokolliert die Identität, den sichtbaren Speicher und das Wählergebnis an einer Stelle:

whoami
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
rasdial "Office"
schtasks /query /tn "VPN Connect" /v /fo LIST

Der Wählbefehl gibt seinen eigenen Fehler aus, der meist klarer ist als ein allgemeiner Aufgabenfehler. Die Abfrage liefert den Principal und den letzten Ergebniscode nebeneinander, sodass Identität und Ergebnis in einer Ansicht sichtbar sind. Diese beiden Fakten entscheiden, ob der nächste Schritt eine Speicheränderung oder eine Änderung der Anmeldeinformationen ist.

Trennen Sie schließlich eine Aufgabe, die sich nach der Benutzeranmeldung verbindet, von einem Gerätetunnel oder einem unterstützten Ablauf vor der Anmeldung. Ein gemeinsames Profil ist für beides kein Entwurf, und das Feld Principal sagt Ihnen, welchen der drei Fälle Sie gebaut haben. Muss die Konnektivität vor der Anmeldung bestehen, ist der Profilspeicher pro Benutzer die falsche Ebene für die Reparatur.