Portée du profil VPN Windows : utilisateur actuel ou tous les utilisateurs ?
La portée décide où un profil VPN natif Windows est stocké et qui peut le voir. Elle ne transforme pas la connexion en tunnel d’appareil et ne partage pas les identifiants.
Vous exécutez une commande sur un profil VPN, elle ne renvoie aucune erreur, et la connexion que lance l’utilisateur se comporte exactement comme avant. Rien n’est cassé. Windows conserve les profils VPN natifs dans deux magasins, et vous avez modifié celui qui n’est pas utilisé. Le même nom affiché peut exister dans les deux, et c’est ainsi qu’un script semble réussir alors que la connexion de l’utilisateur ignore chaque modification que vous avez faite.
La solution n’est pas un meilleur script ; c’est de nommer la portée avant de nommer le profil.
Le symptôme et les deux magasins
Windows conserve les profils VPN natifs dans un carnet de téléphone par utilisateur et dans un carnet à l’échelle de la machine pour tous les utilisateurs. Get-VpnConnection lit le magasin de l’utilisateur actuel, et Get-VpnConnection -AllUserConnection lit celui de la machine.
Un profil créé avec -AllUserConnection apparaît pour chaque compte de la machine et nécessite une session élevée pour être créé ou supprimé. Un profil créé sans cette option appartient au compte qui a exécuté la commande, et un autre utilisateur qui se connecte ne voit absolument rien. Les deux peuvent porter le même nom, et aucun ne vous avertit que l’autre existe. C’est pourquoi le symptôme ressemble à un échec silencieux plutôt qu’à un message d’erreur.
Ce que la portée décide réellement
La portée répond à deux questions et refuse de répondre à une troisième :
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Ce sont les deux dernières lignes que les gens comprennent mal. Un profil pour tous les utilisateurs est un stockage à l’échelle de la machine, pas une identité de machine, et il ne rend pas à lui seul la connexion disponible avant que quelqu’un se connecte. Un tunnel d’appareil Always On Windows est une configuration distincte avec ses propres exigences de certificat et de profil. La portée concerne qui peut voir un profil, pas ce qu’est la machine.
La visibilité n’est pas l’authentification
Un profil pour tous les utilisateurs a toujours besoin d’une organisation d’identité et d’identifiants prise en charge. Rendre le profil visible pour chaque compte ne fait pas de chaque compte le même utilisateur authentifié et ne regroupe pas les identifiants.
Si la conception exige que le tunnel soit monté avant la connexion, la réponse est un tunnel d’appareil plutôt qu’une portée de profil plus large. Si la conception exige que chaque personne présente son propre certificat, un profil par utilisateur correspond mieux à ce modèle, car un profil à l’échelle de la machine ne peut pas présenter un identifiant qui appartient à quelqu’un d’autre.
Déploiement et propriété de la stratégie
Sur les machines gérées, un EMM ou un profil de configuration peut recréer l’état enregistré après votre modification.
Ce n’est pas un bug de votre script ; ce sont deux propriétaires qui écrivent dans le même magasin. Coordonnez la portée avec celui qui possède la stratégie, et préférez modifier la stratégie plutôt que de réexécuter votre commande selon un calendrier. Un correctif local qui concurrence la stratégie produit une machine où le profil semble correct jusqu’à la prochaine synchronisation.
Ce qu’il faut consigner quand ça casse
Consignez trois choses ensemble : le nom du profil, la portée que vous avez ciblée et l’erreur de connexion réelle.
Une route ou un certificat appliqué à un profil de l’autre magasin ne corrigera pas celui que lance l’utilisateur, et le texte de l’erreur continuera de pointer vers la connexion plutôt que vers votre modification. Après une modification approuvée, reconnectez-vous par le point d’entrée prévu et inspectez le routage appliqué ainsi que les paramètres enregistrés. Le magasin de profils répond à ce qui est disponible, tandis que la connexion active répond à ce que fait l’appareil maintenant.
La documentation Microsoft de Add-VpnConnection liste le commutateur de portée à côté des paramètres qu’il modifie, ce qui rappelle utilement que la portée est une décision prise à la création et non un réglage que l’on bascule plus tard.