Umfang von Windows-VPN-Profilen: aktueller Benutzer oder alle Benutzer?
Der Umfang entscheidet, wo ein natives Windows-VPN-Profil gespeichert wird und wer es sehen kann. Er macht die Verbindung nicht zu einem Gerätetunnel und teilt keine Anmeldeinformationen.
Sie führen einen Befehl gegen ein VPN-Profil aus, er gibt keinen Fehler zurück, und die Verbindung, die der Benutzer startet, verhält sich genau wie zuvor. Nichts ist kaputt. Windows hält native VPN-Profile in zwei Speichern, und Sie haben den bearbeitet, der nicht im Spiel ist. Derselbe Anzeigename kann in beiden existieren, und deshalb scheint ein Skript zu funktionieren, während die Verbindung des Benutzers jede Ihrer Änderungen ignoriert.
Die Lösung ist kein besseres Skript; sie besteht darin, den Umfang zu benennen, bevor Sie das Profil benennen.
Das Symptom und die zwei Speicher
Windows hält native VPN-Profile in einem Telefonbuch pro Benutzer und in einem maschinenweiten Telefonbuch für alle Benutzer. Get-VpnConnection liest den Speicher des aktuellen Benutzers, und Get-VpnConnection -AllUserConnection liest den der Maschine.
Ein mit -AllUserConnection erstelltes Profil erscheint für jedes Konto auf der Maschine und benötigt eine erhöhte Sitzung, um erstellt oder entfernt zu werden. Ein ohne diese Option erstelltes Profil gehört dem Konto, das den Befehl ausgeführt hat, und ein anderer Benutzer, der sich anmeldet, sieht gar nichts. Beide können denselben Namen tragen, und keines warnt Sie, dass das andere existiert. Deshalb sieht das Symptom wie ein stiller Fehlschlag aus statt wie eine Fehlermeldung.
Was der Umfang tatsächlich entscheidet
Der Umfang beantwortet zwei Fragen und weigert sich, eine dritte zu beantworten:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Genau die letzten beiden Zeilen verstehen die Leute falsch. Ein Profil für alle Benutzer ist Speicher im Maschinenumfang, keine Maschinenidentität, und es macht die Verbindung nicht von sich aus verfügbar, bevor sich jemand anmeldet. Ein Windows Always On Gerätetunnel ist eine separate Konfiguration mit eigenen Anforderungen an Zertifikat und Profil. Der Umfang betrifft, wer ein Profil sehen kann, nicht, was die Maschine ist.
Sichtbarkeit ist keine Authentifizierung
Ein Profil für alle Benutzer braucht weiterhin eine unterstützte Identitäts- und Anmeldeinformationsregelung. Das Profil für jedes Konto sichtbar zu machen, macht nicht jedes Konto zum selben authentifizierten Benutzer und führt Anmeldeinformationen nicht zusammen.
Wenn das Design den Tunnel vor der Anmeldung oben braucht, ist die Antwort ein Gerätetunnel und kein weiterer Profilumfang. Wenn das Design verlangt, dass jede Person ihr eigenes Zertifikat vorlegt, passt ein Profil pro Benutzer besser zu diesem Modell, weil ein maschinenweites Profil keine Anmeldeinformationen vorlegen kann, die jemand anderem gehören.
Bereitstellung und Eigentümerschaft der Richtlinie
Auf verwalteten Maschinen kann ein EMM oder ein Konfigurationsprofil den gespeicherten Zustand nach Ihrer Änderung neu anlegen.
Das ist kein Fehler in Ihrem Skript; es sind zwei Eigentümer, die in denselben Speicher schreiben. Stimmen Sie den Umfang mit dem ab, der die Richtlinie besitzt, und ändern Sie lieber die Richtlinie, als Ihren Befehl nach Zeitplan erneut auszuführen. Eine lokale Korrektur, die mit der Richtlinie konkurriert, erzeugt eine Maschine, auf der das Profil bis zur nächsten Synchronisierung korrekt aussieht.
Was Sie festhalten sollten, wenn es bricht
Halten Sie drei Dinge zusammen fest: den Profilnamen, den Umfang, den Sie angesprochen haben, und den tatsächlichen Verbindungsfehler.
Eine Route oder ein Zertifikat, das auf ein Profil im anderen Speicher angewendet wird, repariert nicht das, das der Benutzer startet, und der Fehlertext zeigt weiter auf die Verbindung statt auf Ihre Bearbeitung. Nach einer genehmigten Änderung verbinden Sie sich über den vorgesehenen Einstiegspunkt neu und prüfen sowohl das angewendete Routing als auch die gespeicherten Einstellungen. Der Profilspeicher beantwortet, was verfügbar ist, während die aktive Verbindung beantwortet, was das Gerät gerade tut.
Die Microsoft-Dokumentation zu Add-VpnConnection listet den Umfangsschalter neben den Parametern auf, die er ändert, was eine nützliche Erinnerung ist, dass der Umfang eine Entscheidung bei der Erstellung ist und keine Einstellung, die Sie später umlegen.