Seadme tunnel Windows Pro-s? Kontrolli väljaannete maatriksit
Juurutatud profiil ei tõenda sobivust. Enne tunneli silumist võrdle väljaannete maatriksit, CSP-sõlme ja enne sisselogimist kehtivaid eeldusi.
Profiil jõuab sülearvutisse, VPN-i seadete leht näitab seda, kuid seadme tunnel ei loo sisselogimisekraanil ikkagi kunagi ühendust. Windows Pro puhul ei ole see sageli konfiguratsiooniviga. Native-seadme tunnel on litsentseeritud väljaande järgi ja pärast sisselogimist töötav kasutajatunnel tõendab teistsugust võimekust. Loe nõuet enne sertifikaadi silumist.
Sümptom ilmneb enne, kui keegi sisse logib
Kasutajatunnel loob ühenduse kasutaja kontekstis pärast sisselogimist, seetõttu töötab see Pro puhul tavaliselt. Seadme tunnel peaks looma masina ühenduvuse enne ühegi kasutaja sisselogimist, kasutades masinasertifikaati ja IKEv2-t. Need on erinevad elutsükli etapid, mitte kaks nime sama profiili jaoks.
Sobimatul väljaandel saab profiili siiski juurutada ja loetleda, kuid enne sisselogimist loodav ühendus ei ilmu. Pärast sisselogimist võib kasutajatunnel täiuslikult töötada, mistõttu tundub juurutus tervena igas kontrollis, mille teeb konto omanik. Tõrge on nähtamatu juba sisselogitud sessiooni seest.
Profiili kättesaadavaks tegemine kõigile kasutajatele muudab seda, kes tohivad seda kasutada. See ei muuda autentimiskonteksti kasutajalt masinale, seega ei saa see muuta kasutajatunnelit seadme tunneliks. Erinevus on autentimiskontekstis, mitte profiili nähtavuses.
Loe maatriksit, mitte ainult CSP-sõlme
Microsofti Windows 11 funktsioonimaatriks loetleb native Always On VPN-i seadme tunneli jaoks Enterprise’i ja Educationi. VPNv2 konfiguratsiooniteenuse pakkuja dokumenteerib eraldi DeviceTunneli sõlme, mille kohaldatavus hõlmab Pro-d, ja seda rida tsiteeritakse sageli tõendina, et funktsioon töötab. Konfiguratsioonipind ja funktsiooni litsentsimine vastavad erinevatele küsimustele: üks ütleb, et seadet saab väljendada, teine, et väljaandel on sellele võimekusele õigus.
Kinnita tegelik väljaanne ja build, selle asemel et usaldada ostukirjet. Hallatud aktiveerimine, pooleliolev uuendus või ümberehitatud pilt võivad jätta masina varaloendis märgitust erinevale väljaandele:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberKui väljund ütleb Pro, on native-seadme tunnel selle masina dokumenteeritud funktsioonide hulgast väljas. See järeldus ei nõua profiili muutmist ega parane sellega. Pane see leid kirja enne muu muutmist.
Neli eeldust funktsioonilipu taga
Väljaanne on värav ja ülejäänud nõuded selgitavad, miks sobiva väljaandega masin ikkagi ebaõnnestub. Kontrolli neid järjekorras, sest igaüks võib anda sama vaikse tulemuse. Rea vahelejätmine raiskab selle all olevate ridade jaoks tehtud pingutuse. Väljaanne on esimene põhjusega.
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
Sertifikaadi kontroll on see, mille inimesed vahele jätavad. Privaatvõti peab olema masina hoidlas ja süsteemikontekstile enne sisselogimist kasutatav, mis on teine hoidla kui see, mida kasutaja oma sertifikaadidialoogis näeb:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterKasutaja hoidlas õigena näiv sertifikaat võib masina hoidlast täielikult puududa. Siis ebaõnnestub seadme tunnel autentimisel enne sisselogimisekraani ilmumist ja ükski profiili uuesti importimine ei muuda seda. Kontrolli hoidlat, mida teenus kasutab, mitte seda, mida kasutaja näeb.
SYSTEM-ina töötav ajastatud ülesanne ei ole see funktsioon
Liigub möödasõidulahendus, mis käivitab VPN-profiili SYSTEM-ina töötavast ajastatud ülesandest, nii et tunnel ilmub vahetult pärast alglaadimist. See ei ole native-seadme tunnel. Ülesandemootor käivitub teisel hetkel, ühendus on teenusekonto käivitatud kasutajarežiimi profiil ja elutsükkel ei vasta masinaga autenditud tunnelile, mis peab sisselogimisekraanil olemas olema.
See võib läbida pealiskaudse testi, sest tunnel on üleval selleks ajaks, kui keegi sisse logib ja kontrollib. See edu mõõdab viivitust alglaadimise ja ülesande vahel, mitte ühenduvust enne sisselogimist, ja jätab masina tunnelita aknas, mille funktsioon oleks pidanud katma.
Käsitle möödasõidulahendust tootmises toetamata lahendusena. Kui disain sõltub sellest, on nõue tõenäoliselt ühendus enne sisselogimist, mis toob arutelu tagasi väljaande sobivuse juurde.
Vali nõue enne tehnoloogiat
Kirjuta nõue ühe lausena: seade peab jõudma nimetatud ressursini enne, kui ükski kasutaja sisse logib, või kasutajal on vaja juurdepääsu pärast sisselogimist. Kui teine lause on tõene, on Always On-i kasutajatunnel Pro-s toetatud disain ja seadme tunnel tarbetu keerukus.
Kui esimene lause on tõene, on väljaanne kõva värav. Vali sobiv väljaanne või organisatsiooni toetatud dokumenteeritud enne-sisselogimist-arhitektuur ja planeeri litsentsimuudatus enne, kui ehitad profiile ja sertifikaate ümber võimekuse, mida masin ei suuda käivitada.
Märgi juurutamismärkmetesse väljaanne, liitumisolek, sertifikaadi asukoht ja provisioneerimiskanal. Järgmine insener saab siis sobivuse minutitega kinnitada, selle asemel et korrata sama profiili tõrkeotsingut masinal, mis ei oleks kunagi ühendust loonud.