¿Túnel de dispositivo en Windows Pro? Consulte la matriz de ediciones

El perfil llega al portátil, la página de configuración de VPN lo muestra y, aun así, el túnel de dispositivo nunca se conecta en la pantalla de inicio de sesión. En Windows Pro eso a menudo no es un error de configuración. El túnel de dispositivo nativo se licencia por edición, y un túnel de usuario que funciona tras iniciar sesión demuestra otra capacidad. Lea el requisito antes de depurar el certificado.

El síntoma aparece antes de que nadie inicie sesión

Un túnel de usuario se conecta en el contexto del usuario tras el inicio de sesión, por eso funciona con normalidad en Pro. Se supone que un túnel de dispositivo establece la conectividad de la máquina antes de que inicie sesión ningún usuario, mediante un certificado de máquina e IKEv2. Son etapas distintas del ciclo de vida, no dos nombres del mismo perfil.

En una edición no elegible el perfil aún puede entregarse y listarse, pero la conexión previa al inicio de sesión no aparece. Después de iniciar sesión, el túnel de usuario puede funcionar perfectamente, lo que hace que la implementación parezca sana en todas las comprobaciones que realiza el propietario de la cuenta. El fallo es invisible desde dentro de una sesión ya iniciada.

Poner un perfil a disposición de todos los usuarios cambia quién puede usarlo. No cambia el contexto de autenticación de usuario a máquina, así que no puede convertir un túnel de usuario en un túnel de dispositivo. La diferencia es el contexto de autenticación, no la visibilidad del perfil.

Lea la matriz, no solo el nodo CSP

La matriz de funciones de Windows 11 de Microsoft enumera el túnel de dispositivo Always On VPN nativo para Enterprise y Education. El proveedor de servicios de configuración VPNv2 documenta por separado un nodo DeviceTunnel cuya aplicabilidad incluye Pro, y esa línea se cita con frecuencia como prueba de que la función funciona. La superficie de configuración y la licencia de la función responden a preguntas distintas: una dice que un ajuste puede expresarse, la otra que la edición tiene derecho a la capacidad.

Confirme la edición y la compilación efectivas en lugar de confiar en el registro de compra. La activación administrada, una actualización en curso o una imagen reconstruida pueden dejar una máquina en una edición distinta de la que indica la lista de activos:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Si la salida dice Pro, el túnel de dispositivo nativo queda fuera del conjunto de funciones documentado para esa máquina. Esa conclusión no requiere un cambio de perfil y no se corregirá con uno. Anote ese hallazgo antes de cambiar cualquier otra cosa.

Cuatro requisitos detrás del indicador de función

La edición es la puerta, y los requisitos restantes explican por qué una máquina con una edición elegible sigue fallando. Compruébelos en orden, porque cada uno puede producir el mismo resultado silencioso. Saltarse una fila desperdicia el esfuerzo dedicado a las filas inferiores. La edición va primero por una razón.

La comprobación del certificado es la que la gente se salta. La clave privada debe estar presente en el almacén de la máquina y ser utilizable por el contexto del sistema antes del inicio de sesión, que es un almacén distinto del que un usuario ve en su propio diálogo de certificados:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Un certificado que parece correcto en el almacén del usuario puede faltar por completo en el almacén de la máquina. El túnel de dispositivo falla entonces la autenticación antes de que aparezca la pantalla de inicio de sesión, y ninguna reimportación del perfil lo cambia. Compruebe el almacén que usa el servicio, no el que ve el usuario.

Una tarea programada como SYSTEM no es la función

Circula un rodeo que inicia un perfil de VPN desde una tarea programada ejecutada como SYSTEM, lo que hace que aparezca un túnel poco después del arranque. No es el túnel de dispositivo nativo. El motor de tareas se inicia en otro momento, la conexión es un perfil en modo usuario iniciado por una cuenta de servicio y el ciclo de vida no coincide con un túnel autenticado por máquina que debe existir en la pantalla de inicio de sesión.

Puede superar una prueba superficial porque el túnel ya está activo cuando alguien inicia sesión y comprueba. Ese éxito mide el retraso entre el arranque y la tarea, no la conectividad previa al inicio de sesión, y deja la máquina sin túnel durante la ventana que la función debía cubrir.

Trate el rodeo como no compatible para producción. Si un diseño depende de él, el requisito probablemente sea una conexión previa al inicio de sesión, lo que devuelve la discusión a la elegibilidad de la edición.

Elija el requisito antes que la tecnología

Escriba el requisito en una frase: el dispositivo debe alcanzar un recurso con nombre antes de que ningún usuario inicie sesión, o el usuario necesita acceso después de iniciarla. Si la segunda frase es cierta, un túnel de usuario Always On en Pro es un diseño compatible y el túnel de dispositivo es una complejidad innecesaria.

Si la primera frase es cierta, la edición es una puerta dura. Elija una edición elegible o una arquitectura previa al inicio de sesión documentada que la organización admita, y planifique el cambio de licencia antes de construir perfiles y certificados en torno a una capacidad que la máquina no puede ejecutar.

Anote la edición, el estado de unión, la ubicación del certificado y el canal de aprovisionamiento en las notas de implementación. Así el siguiente ingeniero podrá confirmar la elegibilidad en minutos en lugar de repetir la misma depuración del perfil en una máquina que nunca se habría conectado.