Windows VPN-profila amplekso: nuna uzanto aŭ ĉiuj uzantoj?
La amplekso decidas, kie indiĝena Windows VPN-profila stoko estas konservata kaj kiu povas vidi ĝin. Ĝi ne igas la konekton aparata tunelo nek dividas legitimilojn.
Vi rulas komandon kontraŭ VPN-profilo, ĝi redonas neniun eraron, kaj la konekto, kiun la uzanto startigas, kondutas ĝuste kiel antaŭe. Nenio estas rompita. Windows tenas indiĝenajn VPN-profilojn en du stokejoj, kaj vi redaktis tiun, kiu ne estas uzata. La sama montrata nomo povas ekzisti en ambaŭ, kaj tial skripto ŝajnas sukcesi dum la konekto de la uzanto ignoras ĉiun ŝanĝon, kiun vi faris.
La solvo ne estas pli bona skripto; ĝi estas nomi la amplekson antaŭ ol nomi la profilon.
La simptomo kaj la du stokejoj
Windows tenas indiĝenajn VPN-profilojn en telefondosiero por ĉiu uzanto kaj en maŝinnivela telefondosiero por ĉiuj uzantoj. Get-VpnConnection legas la stokejon de la nuna uzanto, kaj Get-VpnConnection -AllUserConnection legas tiun de la maŝino.
Profilo kreita per -AllUserConnection aperas por ĉiu konto sur la maŝino kaj bezonas altigitan seancon por esti kreita aŭ forigita. Profilo kreita sen ĝi apartenas al la konto, kiu rulis la komandon, kaj alia uzanto, kiu ensalutas, vidas nenion. Ambaŭ povas porti la saman nomon, kaj neniu avertas vin, ke la alia ekzistas. Tial la simptomo aspektas kiel silenta malsukceso anstataŭ kiel erarmesaĝo.
Kion la amplekso efektive decidas
La amplekso respondas du demandojn kaj rifuzas respondi trian:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Ĝuste la lastajn du vicojn homoj komprenas malĝuste. Profilo por ĉiuj uzantoj estas konservejo en maŝina amplekso, ne maŝina identeco, kaj ĝi ne faras la konekton havebla per si mem antaŭ ol iu ensalutas. Windows Always On aparata tunelo estas aparta agordo kun propraj postuloj pri atestilo kaj profilo. La amplekso temas pri tio, kiu povas vidi profilon, ne pri tio, kio estas la maŝino.
Videbleco ne estas aŭtentikigo
Profilo por ĉiuj uzantoj ankoraŭ bezonas subtenatan aranĝon de identeco kaj legitimiloj. Igi la profilon videbla por ĉiu konto ne igas ĉiun konton la sama aŭtentikigita uzanto, kaj ĝi ne kunigas legitimilojn.
Se la dezajno postulas, ke la tunelo estu supre antaŭ ensaluto, la respondo estas aparata tunelo, ne pli larĝa profila amplekso. Se la dezajno postulas, ke ĉiu persono prezentu sian propran atestilon, profilo po uzanto pli bone kongruas kun tiu modelo, ĉar maŝinampleksa profilo ne povas prezenti legitimilon, kiu apartenas al iu alia.
Enkonduko kaj proprieto de politiko
Sur administrataj maŝinoj EMM aŭ agorda profilo povas rekrei la konservitan staton post via ŝanĝo.
Tio ne estas cimo en via skripto; temas pri du posedantoj, kiuj skribas al la sama stokejo. Kunordigu la amplekson kun tiu, kiu posedas la politikon, kaj preferu ŝanĝi la politikon anstataŭ reruli vian komandon laŭ horaro. Loka riparo, kiu konfliktas kun politiko, produktas maŝinon, kie la profilo aspektas ĝusta ĝis la sekva sinkronigo.
Kion registri, kiam ĝi rompiĝas
Registru tri aferojn kune: la profilan nomon, la amplekson, kiun vi celis, kaj la faktan konekteraron.
Itinero aŭ atestilo aplikita al profilo en la alia stokejo ne riparos tiun, kiun la uzanto startigas, kaj la erarteksto daŭre montros al la konekto anstataŭ al via redakto. Post aprobita ŝanĝo rekonektiĝu tra la celita enirpunkto kaj kontrolu la aplikitan enkursigon same kiel la konservitajn agordojn. La profila stokejo respondas, kio estas havebla, dum la aktiva konekto respondas, kion la aparato faras nun.
La dokumentaro de Microsoft pri Add-VpnConnection listigas la ampleksan ŝaltilon apud la parametroj, kiujn ĝi ŝanĝas, kio estas utila memorigo, ke amplekso estas decido farita ĉe kreado, ne agordo, kiun vi ŝanĝas poste.