Εμβέλεια προφίλ VPN στα Windows: τρέχων χρήστης ή όλοι οι χρήστες;
Η εμβέλεια καθορίζει πού αποθηκεύεται ένα εγγενές προφίλ VPN των Windows και ποιος μπορεί να το δει. Δεν μετατρέπει τη σύνδεση σε σήραγγα συσκευής και δεν μοιράζεται διαπιστευτήρια.
Εκτελείτε μια εντολή σε ένα προφίλ VPN, δεν επιστρέφει σφάλμα, και η σύνδεση που ξεκινά ο χρήστης συμπεριφέρεται ακριβώς όπως πριν. Τίποτα δεν είναι χαλασμένο. Τα Windows κρατούν τα εγγενή προφίλ VPN σε δύο αποθήκες, και εσείς επεξεργαστήκατε εκείνη που δεν χρησιμοποιείται. Το ίδιο εμφανιζόμενο όνομα μπορεί να υπάρχει και στις δύο, και γι’ αυτό ένα σενάριο φαίνεται να πετυχαίνει ενώ η σύνδεση του χρήστη αγνοεί κάθε αλλαγή που κάνατε.
Η λύση δεν είναι ένα καλύτερο σενάριο· είναι να ονομάσετε την εμβέλεια πριν ονομάσετε το προφίλ.
Το σύμπτωμα και οι δύο αποθήκες
Τα Windows κρατούν τα εγγενή προφίλ VPN σε έναν τηλεφωνικό κατάλογο ανά χρήστη και σε έναν κατάλογο σε επίπεδο μηχανής για όλους τους χρήστες. Το Get-VpnConnection διαβάζει την αποθήκη του τρέχοντος χρήστη, και το Get-VpnConnection -AllUserConnection διαβάζει εκείνη της μηχανής.
Ένα προφίλ που δημιουργήθηκε με -AllUserConnection εμφανίζεται σε κάθε λογαριασμό της μηχανής και απαιτεί αναβαθμισμένη συνεδρία για να δημιουργηθεί ή να αφαιρεθεί. Ένα προφίλ που δημιουργήθηκε χωρίς αυτό ανήκει στον λογαριασμό που εκτέλεσε την εντολή, και ένας άλλος χρήστης που συνδέεται δεν βλέπει απολύτως τίποτα. Και τα δύο μπορούν να φέρουν το ίδιο όνομα, και κανένα δεν σας προειδοποιεί ότι υπάρχει το άλλο. Γι’ αυτό το σύμπτωμα μοιάζει με σιωπηλή αποτυχία και όχι με μήνυμα σφάλματος.
Τι αποφασίζει στην πραγματικότητα η εμβέλεια
Η εμβέλεια απαντά σε δύο ερωτήσεις και αρνείται να απαντήσει σε μια τρίτη:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Οι δύο τελευταίες γραμμές είναι αυτές που καταλαβαίνουν λάθος οι άνθρωποι. Ένα προφίλ για όλους τους χρήστες είναι αποθήκευση σε εμβέλεια μηχανής, όχι ταυτότητα μηχανής, και δεν κάνει από μόνο του τη σύνδεση διαθέσιμη πριν συνδεθεί κάποιος. Μια σήραγγα συσκευής Always On των Windows είναι ξεχωριστή διαμόρφωση με δικές της απαιτήσεις πιστοποιητικού και προφίλ. Η εμβέλεια αφορά το ποιος μπορεί να δει ένα προφίλ, όχι το τι είναι η μηχανή.
Η ορατότητα δεν είναι έλεγχος ταυτότητας
Ένα προφίλ για όλους τους χρήστες χρειάζεται ακόμη μια υποστηριζόμενη ρύθμιση ταυτότητας και διαπιστευτηρίων. Το να κάνετε το προφίλ ορατό σε κάθε λογαριασμό δεν κάνει κάθε λογαριασμό τον ίδιο πιστοποιημένο χρήστη, και δεν ενοποιεί τα διαπιστευτήρια.
Αν ο σχεδιασμός απαιτεί η σήραγγα να είναι ενεργή πριν από τη σύνδεση, η απάντηση είναι σήραγγα συσκευής και όχι ευρύτερη εμβέλεια προφίλ. Αν ο σχεδιασμός απαιτεί κάθε άτομο να παρουσιάζει το δικό του πιστοποιητικό, ένα προφίλ ανά χρήστη ταιριάζει καλύτερα σε αυτό το μοντέλο, γιατί ένα προφίλ σε επίπεδο μηχανής δεν μπορεί να παρουσιάσει διαπιστευτήριο που ανήκει σε κάποιον άλλο.
Ανάπτυξη και ιδιοκτησία πολιτικής
Σε διαχειριζόμενες μηχανές, ένα EMM ή ένα προφίλ διαμόρφωσης μπορεί να αναδημιουργήσει την αποθηκευμένη κατάσταση μετά την αλλαγή σας.
Αυτό δεν είναι σφάλμα στο σενάριό σας· είναι δύο ιδιοκτήτες που γράφουν στην ίδια αποθήκη. Συντονίστε την εμβέλεια με όποιον κατέχει την πολιτική, και προτιμήστε να αλλάξετε την πολιτική αντί να εκτελείτε ξανά την εντολή σας σε χρονοδιάγραμμα. Μια τοπική διόρθωση που ανταγωνίζεται την πολιτική παράγει μια μηχανή όπου το προφίλ φαίνεται σωστό μέχρι τον επόμενο συγχρονισμό.
Τι να καταγράφετε όταν χαλάει
Καταγράψτε τρία πράγματα μαζί: το όνομα του προφίλ, την εμβέλεια που στοχεύσατε και το πραγματικό σφάλμα σύνδεσης.
Μια διαδρομή ή ένα πιστοποιητικό που εφαρμόστηκε σε προφίλ στην άλλη αποθήκη δεν θα διορθώσει εκείνο που ξεκινά ο χρήστης, και το κείμενο του σφάλματος θα συνεχίσει να δείχνει στη σύνδεση και όχι στην επεξεργασία σας. Μετά από μια εγκεκριμένη αλλαγή, συνδεθείτε ξανά μέσω του προβλεπόμενου σημείου εισόδου και ελέγξτε τη δρομολόγηση που εφαρμόστηκε καθώς και τις αποθηκευμένες ρυθμίσεις. Η αποθήκη προφίλ απαντά τι είναι διαθέσιμο, ενώ η ενεργή σύνδεση απαντά τι κάνει η συσκευή τώρα.
Η τεκμηρίωση της Microsoft για το Add-VpnConnection παραθέτει τον διακόπτη εμβέλειας δίπλα στις παραμέτρους που τροποποιεί, κάτι που είναι μια χρήσιμη υπενθύμιση ότι η εμβέλεια είναι απόφαση κατά τη δημιουργία και όχι ρύθμιση που αλλάζετε αργότερα.