Windowsi VPN-profiili ulatus: praegune kasutaja või kõik kasutajad?
Ulatus otsustab, kuhu natiivne Windowsi VPN-profiil salvestatakse ja kes seda näha saab. See ei muuda ühendust seadme tunneliks ega jaga mandaate.
Käivitate VPN-profiili vastu käsu, see ei tagasta ühtegi viga ja ühendus, mille kasutaja käivitab, käitub täpselt nagu enne. Miski ei ole katki. Windows hoiab natiivseid VPN-profiile kahes hoidlas ja te redigeerisite seda, mis ei ole mängus. Sama kuvatav nimi võib eksisteerida mõlemas, ja seetõttu tundub skript õnnestuvat, samal ajal kui kasutaja ühendus eirab iga teie tehtud muudatust.
Lahendus ei ole parem skript; lahendus on nimetada ulatus enne, kui nimetate profiili.
Sümptom ja kaks hoidlat
Windows hoiab natiivseid VPN-profiile kasutajapõhises telefoniraamatus ja masinaüleste kõigi kasutajate telefoniraamatus. Get-VpnConnection loeb praeguse kasutaja hoidlat ja Get-VpnConnection -AllUserConnection loeb masina oma.
-AllUserConnectioniga loodud profiil ilmub masina igale kontole ja selle loomiseks või eemaldamiseks on vaja kõrgendatud seanssi. Ilma selleta loodud profiil kuulub kontole, mis käsu käivitas, ja teine sisse logiv kasutaja ei näe üldse midagi. Mõlemad võivad kanda sama nime ja kumbki ei hoieta teid, et teine olemas on. Seetõttu näeb sümptom välja nagu vaikne tõrge, mitte nagu veateade.
Mida ulatus tegelikult otsustab
Ulatus vastab kahele küsimusele ja keeldub vastamast kolmandale:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Just viimased kaks rida aetakse segi. Kõigi kasutajate profiil on masinaulatusega salvestus, mitte masina identiteet, ja see ei tee ühendust iseenesest kättesaadavaks enne, kui keegi sisse logib. Windowsi Always On seadme tunnel on eraldi konfiguratsioon, millel on oma sertifikaadi- ja profiilinõuded. Ulatus puudutab seda, kes profiili näha saab, mitte seda, mis masin on.
Nähtavus ei ole autentimine
Kõigi kasutajate profiil vajab endiselt toetatud identiteedi- ja mandaadikorraldust. Profiili nähtavaks tegemine igale kontole ei tee igast kontost sama autenditud kasutajat ega ühenda mandaate.
Kui disain nõuab, et tunnel oleks üleval enne sisselogimist, on vastus seadme tunnel, mitte laiem profiiliulatus. Kui disain nõuab, et iga inimene esitaks omaenda sertifikaadi, sobib kasutajapõhine profiil selle mudeliga paremini, sest masinaulatusega profiil ei saa esitada mandaati, mis kuulub kellelegi teisele.
Kasutuselevõtt ja poliitika omandus
Hallatud masinates võib EMM või konfiguratsiooniprofiil teie muudatuse järel salvestatud oleku uuesti luua.
See ei ole viga teie skriptis; need on kaks omanikku, kes kirjutavad samasse hoidlasse. Kooskõlastage ulatus sellega, kellele poliitika kuulub, ja eelistage poliitika muutmist selle asemel, et käsku ajakava järgi uuesti käivitada. Poliitikaga võistlev kohalik parandus loob masina, kus profiil näeb õige välja kuni järgmise sünkroonimiseni.
Mida rikke korral kirja panna
Pange kolm asja koos kirja: profiili nimi, sihitud ulatus ja tegelik ühendusviga.
Teise hoidla profiilile rakendatud marsruut või sertifikaat ei paranda seda, mille kasutaja käivitab, ja veatekst osutab edasi ühendusele, mitte teie redigeerimisele. Pärast kinnitatud muudatust ühendage uuesti kavandatud sisenemispunkti kaudu ning kontrollige nii rakendatud marsruutimist kui ka salvestatud seadeid. Profiilihoidla vastab, mis on saadaval, samal ajal kui aktiivne ühendus vastab, mida seade praegu teeb.
Microsofti dokumentatsioon Add-VpnConnection kohta loetleb ulatuse lüliti nende parameetrite kõrval, mida see muudab, mis on kasulik meeldetuletus, et ulatus on loomise ajal tehtud otsus, mitte säte, mille hiljem ümber lülitate.