Ámbito del perfil VPN de Windows: ¿usuario actual o todos los usuarios?
El ámbito decide dónde se guarda un perfil VPN nativo de Windows y quién puede verlo. No convierte la conexión en un túnel de dispositivo ni comparte credenciales.
Ejecuta un comando sobre un perfil VPN, no devuelve ningún error y la conexión que inicia el usuario se comporta exactamente igual que antes. Nada está roto. Windows guarda los perfiles VPN nativos en dos almacenes, y usted editó el que no está en uso. El mismo nombre visible puede existir en ambos, y por eso un script parece funcionar mientras la conexión del usuario ignora cada cambio que hizo.
La solución no es un script mejor; es nombrar el ámbito antes de nombrar el perfil.
El síntoma y los dos almacenes
Windows guarda los perfiles VPN nativos en una libreta de teléfonos por usuario y en una libreta para toda la máquina con todos los usuarios. Get-VpnConnection lee el almacén del usuario actual, y Get-VpnConnection -AllUserConnection lee el de la máquina.
Un perfil creado con -AllUserConnection aparece para cada cuenta de la máquina y necesita una sesión elevada para crearse o eliminarse. Un perfil creado sin esa opción pertenece a la cuenta que ejecutó el comando, y otro usuario que inicie sesión no ve absolutamente nada. Ambos pueden llevar el mismo nombre, y ninguno le avisa de que existe el otro. Por eso el síntoma parece un fallo silencioso en lugar de un mensaje de error.
Qué decide realmente el ámbito
El ámbito responde a dos preguntas y se niega a responder una tercera:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Las dos últimas filas son las que la gente entiende mal. Un perfil para todos los usuarios es almacenamiento con ámbito de máquina, no una identidad de máquina, y no hace por sí mismo que la conexión esté disponible antes de que alguien inicie sesión. Un túnel de dispositivo Always On de Windows es una configuración aparte con sus propios requisitos de certificado y perfil. El ámbito trata de quién puede ver un perfil, no de qué es la máquina.
La visibilidad no es autenticación
Un perfil para todos los usuarios sigue necesitando un esquema compatible de identidad y credenciales. Hacer visible el perfil para cada cuenta no convierte a cada cuenta en el mismo usuario autenticado, ni agrupa las credenciales.
Si el diseño necesita el túnel activo antes del inicio de sesión, la respuesta es un túnel de dispositivo y no un ámbito de perfil más amplio. Si el diseño necesita que cada persona presente su propio certificado, un perfil por usuario encaja mejor con ese modelo, porque un perfil con ámbito de máquina no puede presentar una credencial que pertenece a otra persona.
Despliegue y propiedad de las directivas
En máquinas administradas, un EMM o un perfil de configuración puede recrear el estado guardado después de su cambio.
No es un error de su script; son dos propietarios escribiendo en el mismo almacén. Coordine el ámbito con quien posee la directiva y prefiera cambiar la directiva antes que volver a ejecutar su comando según una programación. Una corrección local que compite con la directiva produce una máquina donde el perfil parece correcto hasta la siguiente sincronización.
Qué registrar cuando se rompe
Registre tres cosas juntas: el nombre del perfil, el ámbito al que apuntó y el error de conexión real.
Una ruta o un certificado aplicado a un perfil del otro almacén no arreglará el que inicia el usuario, y el texto del error seguirá apuntando a la conexión en lugar de a su edición. Tras un cambio aprobado, vuelva a conectarse por el punto de entrada previsto e inspeccione el enrutamiento aplicado, así como la configuración guardada. El almacén de perfiles responde qué está disponible, mientras que la conexión activa responde qué está haciendo el dispositivo ahora.
La documentación de Microsoft para Add-VpnConnection enumera el modificador de ámbito junto a los parámetros que modifica, lo que es un recordatorio útil de que el ámbito es una decisión que se toma al crear el perfil, no un ajuste que se cambia después.