Laitetunneli Windows Prossa? Tarkista versiomatriisi

Profiili päätyy kannettavaan, VPN-asetusten sivu näyttää sen, eikä laitetunneli silti koskaan yhdistä kirjautumisnäytöllä. Windows Prossa kyse ei usein ole määritysvirheestä. Natiivi laitetunneli lisensoidaan version mukaan, ja kirjautumisen jälkeen toimiva käyttäjätunneli todistaa toisen kyvykkyyden. Lue vaatimus ennen sertifikaatin vianetsintää.

Oire ilmenee ennen kuin kukaan kirjautuu sisään

Käyttäjätunneli yhdistää käyttäjän kontekstissa kirjautumisen jälkeen, minkä vuoksi se toimii Prossa normaalisti. Laitetunnelin on tarkoitus muodostaa koneen yhteys ennen kuin kukaan käyttäjä kirjautuu sisään, koneen sertifikaatilla ja IKEv2:lla. Nämä ovat elinkaaren eri vaiheita, eivät kaksi nimeä samalle profiilille.

Kelvottomassa versiossa profiili voidaan silti toimittaa ja luetella, mutta ennen kirjautumista muodostettava yhteys ei ilmesty. Kirjautumisen jälkeen käyttäjätunneli voi toimia moitteettomasti, mikä saa käyttöönoton näyttämään terveeltä jokaisessa tarkistuksessa, jonka tilin omistaja tekee. Vika on näkymätön jo kirjautuneen istunnon sisältä.

Profiilin tarjoaminen kaikille käyttäjille muuttaa sitä, kuka sitä saa käyttää. Se ei muuta todennuskontekstia käyttäjästä koneeksi, joten se ei voi muuttaa käyttäjätunnelia laitetunneliksi. Ero on todennuskontekstissa, ei profiilin näkyvyydessä.

Lue matriisia, älä vain CSP-solmua

Microsoftin Windows 11:n ominaisuusmatriisi luettelee natiivin Always On VPN -laitetunnelin Enterpriselle ja Educationille. VPNv2-määrityspalvelun tarjoaja dokumentoi erikseen DeviceTunnel-solmun, jonka soveltuvuus kattaa Pron, ja tätä riviä siteerataan usein todisteena siitä, että ominaisuus toimii. Määrityspinta ja ominaisuuden lisensointi vastaavat eri kysymyksiin: toinen sanoo, että asetus voidaan ilmaista, toinen, että versiolla on oikeus kyvykkyyteen.

Vahvista tosiasiallinen versio ja koontiversio sen sijaan, että luottaisit ostotietueeseen. Hallittu aktivointi, käynnissä oleva päivitys tai uudelleenrakennettu levykuva voivat jättää koneen eri versioon kuin omaisuusluettelo kertoo:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Jos tuloste sanoo Pro, natiivi laitetunneli on kyseisen koneen dokumentoidun ominaisuusjoukon ulkopuolella. Tämä johtopäätös ei vaadi profiilin muutosta eikä korjaannu sellaisella. Kirjaa havainto ennen kuin muutat mitään muuta.

Neljä edellytystä ominaisuuslipun takana

Versio on portti, ja loput vaatimukset selittävät, miksi kelvollisessa versiossa oleva kone silti epäonnistuu. Tarkista ne järjestyksessä, koska jokainen voi tuottaa saman äänettömän tuloksen. Rivin väliin jättäminen tuhlaa sen alla oleviin riveihin käytetyn vaivan. Versio tulee ensin syystä.

Sertifikaatin tarkistus on se, jonka ihmiset ohittavat. Yksityisen avaimen on oltava koneen säilössä ja järjestelmän kontekstin käytettävissä ennen kirjautumista, mikä on eri säilö kuin se, jonka käyttäjä näkee omassa sertifikaattivalintaikkunassaan:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Käyttäjän säilössä oikealta näyttävä sertifikaatti voi puuttua kokonaan koneen säilöstä. Silloin laitetunneli epäonnistuu todennuksessa ennen kirjautumisnäytön ilmestymistä, eikä profiilin uudelleentuonti muuta sitä. Tarkista säilö, jota palvelu käyttää, ei sitä, jonka käyttäjä näkee.

SYSTEMinä ajettava ajoitettu tehtävä ei ole se ominaisuus

Liikkeellä on kiertotie, joka käynnistää VPN-profiilin SYSTEMinä ajettavasta ajoitetusta tehtävästä, jolloin tunneli ilmestyy pian käynnistyksen jälkeen. Se ei ole natiivi laitetunneli. Tehtävämoottori käynnistyy eri kohdassa, yhteys on palvelutilin käynnistämä käyttäjätilan profiili, eikä elinkaari vastaa koneella todennettua tunnelia, jonka on oltava olemassa kirjautumisnäytöllä.

Se voi läpäistä pinnallisen testin, koska tunneli on pystyssä siihen mennessä, kun joku kirjautuu sisään ja tarkistaa. Tämä onnistuminen mittaa viivettä käynnistyksen ja tehtävän välillä, ei yhteyttä ennen kirjautumista, ja se jättää koneen ilman tunnelia sinä aikana, jonka ominaisuuden piti kattaa.

Kohtele kiertotietä tuotannossa tukemattomana. Jos suunnittelu riippuu siitä, vaatimus on todennäköisesti yhteys ennen kirjautumista, mikä palauttaa keskustelun version kelpoisuuteen.

Valitse vaatimus ennen teknologiaa

Kirjoita vaatimus yhdellä lauseella: laitteen on päästävä nimettyyn resurssiin ennen kuin kukaan käyttäjä kirjautuu sisään, tai käyttäjä tarvitsee pääsyn kirjautumisen jälkeen. Jos toinen lause pitää paikkansa, Always On -käyttäjätunneli Prossa on tuettu suunnittelu ja laitetunneli tarpeetonta monimutkaisuutta.

Jos ensimmäinen lause pitää paikkansa, versio on kova portti. Valitse kelvollinen versio tai organisaation tukema dokumentoitu ennen kirjautumista toimiva arkkitehtuuri ja suunnittele lisenssimuutos ennen kuin rakennat profiileja ja sertifikaatteja kyvykkyyden ympärille, jota kone ei pysty suorittamaan.

Kirjaa versio, liittymistila, sertifikaatin sijainti ja valmistelukanava käyttöönoton muistiinpanoihin. Seuraava insinööri voi silloin vahvistaa kelpoisuuden minuuteissa sen sijaan, että toistaisi saman profiilin vianetsinnän koneella, joka ei olisi koskaan yhdistänyt.