Tunnel d’appareil sous Windows Pro ? Vérifiez la matrice des éditions

Le profil arrive sur l’ordinateur portable, la page des paramètres VPN l’affiche, et le tunnel d’appareil ne se connecte toujours pas à l’écran d’ouverture de session. Sous Windows Pro, il ne s’agit souvent pas d’une erreur de configuration. Le tunnel d’appareil natif est licencié par édition, et un tunnel utilisateur qui fonctionne après l’ouverture de session prouve une autre capacité. Lisez l’exigence avant de déboguer le certificat.

Le symptôme apparaît avant que quiconque ouvre une session

Un tunnel utilisateur se connecte dans le contexte de l’utilisateur après l’ouverture de session, ce qui explique qu’il fonctionne normalement sous Pro. Un tunnel d’appareil est censé établir la connectivité de la machine avant l’ouverture de session de tout utilisateur, à l’aide d’un certificat de machine et d’IKEv2. Ce sont des étapes différentes du cycle de vie, pas deux noms pour le même profil.

Sur une édition non éligible, le profil peut toujours être déployé et répertorié, mais la connexion avant l’ouverture de session n’apparaît pas. Après l’ouverture de session, le tunnel utilisateur peut fonctionner parfaitement, ce qui donne au déploiement une apparence saine à chaque vérification effectuée par le propriétaire du compte. La défaillance est invisible depuis une session déjà ouverte.

Rendre un profil disponible pour tous les utilisateurs change qui peut l’utiliser. Cela ne change pas le contexte d’authentification de l’utilisateur vers la machine, donc cela ne peut pas transformer un tunnel utilisateur en tunnel d’appareil. La distinction tient au contexte d’authentification, pas à la visibilité du profil.

Lisez la matrice, pas seulement le nœud CSP

La matrice des fonctionnalités de Windows 11 de Microsoft répertorie le tunnel d’appareil Always On VPN natif pour Enterprise et Education. Le fournisseur de services de configuration VPNv2 documente séparément un nœud DeviceTunnel dont l’applicabilité inclut Pro, et cette ligne est souvent citée comme preuve que la fonctionnalité fonctionne. La surface de configuration et la licence de fonctionnalité répondent à des questions différentes : l’une dit qu’un paramètre peut être exprimé, l’autre que l’édition a droit à la capacité.

Confirmez l’édition et la build effectives au lieu de faire confiance au registre d’achat. L’activation gérée, une mise à niveau en cours ou une image reconstruite peuvent toutes laisser une machine sur une édition différente de celle indiquée dans la liste des actifs :

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Si la sortie indique Pro, le tunnel d’appareil natif sort de l’ensemble de fonctionnalités documenté pour cette machine. Cette conclusion n’exige aucune modification de profil et ne sera pas corrigée par une telle modification. Consignez ce constat avant de changer quoi que ce soit d’autre.

Quatre prérequis derrière l’indicateur de fonctionnalité

L’édition est la porte, et les autres exigences expliquent pourquoi une machine sur une édition éligible échoue encore. Vérifiez-les dans l’ordre, car chacune peut produire le même résultat silencieux. Sauter une ligne gaspille l’effort consacré aux lignes situées en dessous. L’édition vient en premier pour une raison.

La vérification du certificat est celle que les gens sautent. La clé privée doit être présente dans le magasin de la machine et utilisable par le contexte système avant l’ouverture de session, un magasin différent de celui qu’un utilisateur voit dans sa propre boîte de dialogue de certificats :

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Un certificat qui semble correct dans le magasin de l’utilisateur peut être totalement absent du magasin de la machine. Le tunnel d’appareil échoue alors à l’authentification avant l’apparition de l’écran d’ouverture de session, et aucune réimportation du profil ne change cela. Vérifiez le magasin utilisé par le service, pas celui que voit l’utilisateur.

Une tâche planifiée exécutée en SYSTEM n’est pas la fonctionnalité

Une solution de contournement circule : elle lance un profil VPN depuis une tâche planifiée exécutée en SYSTEM, ce qui fait apparaître un tunnel peu après le démarrage. Ce n’est pas le tunnel d’appareil natif. Le moteur de tâches démarre à un autre moment, la connexion est un profil en mode utilisateur lancé par un compte de service, et le cycle de vie ne correspond pas à un tunnel authentifié par machine qui doit exister à l’écran d’ouverture de session.

Elle peut passer un test superficiel, car le tunnel est actif au moment où quelqu’un ouvre une session et vérifie. Ce succès mesure le délai entre le démarrage et la tâche, pas la connectivité avant l’ouverture de session, et il laisse la machine sans tunnel pendant la fenêtre que la fonctionnalité était censée couvrir.

Traitez la solution de contournement comme non prise en charge en production. Si une conception en dépend, l’exigence est probablement une connexion avant l’ouverture de session, ce qui ramène la discussion à l’éligibilité de l’édition.

Choisissez l’exigence avant la technologie

Écrivez l’exigence en une phrase : l’appareil doit atteindre une ressource nommée avant l’ouverture de session de tout utilisateur, ou l’utilisateur a besoin d’un accès après l’ouverture de session. Si la seconde phrase est vraie, un tunnel utilisateur Always On sous Pro est une conception prise en charge et le tunnel d’appareil est une complexité inutile.

Si la première phrase est vraie, l’édition est une porte stricte. Choisissez une édition éligible ou une architecture documentée avant l’ouverture de session que l’organisation prend en charge, et planifiez le changement de licence avant de construire des profils et des certificats autour d’une capacité que la machine ne peut pas exécuter.

Consignez l’édition, l’état d’appartenance, l’emplacement du certificat et le canal d’approvisionnement dans les notes de déploiement. L’ingénieur suivant pourra alors confirmer l’éligibilité en quelques minutes au lieu de répéter le même dépannage de profil sur une machine qui n’aurait jamais dû se connecter.