Túnel de dispositivo en Windows Pro? Consulte a matriz de edicións

O perfil chega ao portátil, a páxina de configuración de VPN móstrao e, aínda así, o túnel de dispositivo nunca se conecta na pantalla de inicio de sesión. En Windows Pro iso adoita non ser un erro de configuración. O túnel de dispositivo nativo licénciase por edición, e un túnel de usuario que funciona tras iniciar sesión demostra outra capacidade. Lea o requisito antes de depurar o certificado.

O síntoma aparece antes de que ninguén inicie sesión

Un túnel de usuario conéctase no contexto do usuario tras o inicio de sesión, por iso funciona con normalidade en Pro. Suponse que un túnel de dispositivo establece a conectividade da máquina antes de que inicie sesión ningún usuario, mediante un certificado de máquina e IKEv2. Son etapas distintas do ciclo de vida, non dous nomes do mesmo perfil.

Nunha edición non elixible o perfil aínda se pode despregar e listar, pero a conexión previa ao inicio de sesión non aparece. Despois de iniciar sesión o túnel de usuario pode funcionar perfectamente, o que fai que o despregamento pareza san en todas as comprobacións que realiza o propietario da conta. O fallo é invisible desde dentro dunha sesión xa iniciada.

Pór un perfil a disposición de todos os usuarios cambia quen pode usalo. Non cambia o contexto de autenticación de usuario a máquina, así que non pode converter un túnel de usuario nun túnel de dispositivo. A diferenza é o contexto de autenticación, non a visibilidade do perfil.

Lea a matriz, non só o nodo CSP

A matriz de funcións de Windows 11 de Microsoft enumera o túnel de dispositivo Always On VPN nativo para Enterprise e Education. O provedor de servizos de configuración VPNv2 documenta por separado un nodo DeviceTunnel cuxa aplicabilidade inclúe Pro, e esa liña cítase a miúdo como proba de que a función funciona. A superficie de configuración e a licenza da función responden a preguntas distintas: unha di que un axuste pode expresarse, a outra que a edición ten dereito á capacidade.

Confirme a edición e a compilación efectivas en lugar de confiar no rexistro de compra. A activación xestionada, unha actualización en curso ou unha imaxe reconstruída poden deixar unha máquina nunha edición distinta da que indica a lista de activos:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Se a saída di Pro, o túnel de dispositivo nativo queda fóra do conxunto de funcións documentado para esa máquina. Esa conclusión non require un cambio de perfil e non se corrixirá cun. Anote ese achado antes de cambiar calquera outra cousa.

Catro requisitos detrás do indicador de función

A edición é a porta, e os requisitos restantes explican por que unha máquina cunha edición elixible segue fallando. Compruébeos en orde, porque cada un pode producir o mesmo resultado silencioso. Saltarse unha fila desperdicia o esforzo dedicado ás filas inferiores. A edición vai primeiro por unha razón.

A comprobación do certificado é a que a xente se salta. A clave privada debe estar presente no almacén da máquina e ser utilizábel polo contexto do sistema antes do inicio de sesión, que é un almacén distinto do que un usuario ve no seu propio diálogo de certificados:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Un certificado que parece correcto no almacén do usuario pode faltar por completo no almacén da máquina. O túnel de dispositivo falla entón a autenticación antes de que apareza a pantalla de inicio de sesión, e ningunha reimportación do perfil o cambia. Comprobe o almacén que usa o servizo, non o que ve o usuario.

Unha tarefa programada como SYSTEM non é a función

Circula unha solución alternativa que inicia un perfil de VPN desde unha tarefa programada executada como SYSTEM, o que fai que apareza un túnel pouco despois do arranque. Non é o túnel de dispositivo nativo. O motor de tarefas iníciase noutro momento, a conexión é un perfil en modo usuario iniciado por unha conta de servizo e o ciclo de vida non coincide cun túnel autenticado por máquina que debe existir na pantalla de inicio de sesión.

Pode superar unha proba superficial porque o túnel xa está activo cando alguén inicia sesión e comproba. Ese éxito mide o atraso entre o arranque e a tarefa, non a conectividade previa ao inicio de sesión, e deixa a máquina sen túnel durante a ventá que a función debía cubrir.

Trate a solución alternativa como non compatible para produción. Se un deseño depende dela, o requisito probablemente sexa unha conexión previa ao inicio de sesión, o que devolve a discusión á elixibilidade da edición.

Escolla o requisito antes da tecnoloxía

Escriba o requisito nunha frase: o dispositivo debe acadar un recurso nomeado antes de que ningún usuario inicie sesión, ou o usuario necesita acceso despois de iniciar sesión. Se a segunda frase é certa, un túnel de usuario Always On en Pro é un deseño compatible e o túnel de dispositivo é unha complexidade innecesaria.

Se a primeira frase é certa, a edición é unha porta dura. Escolla unha edición elixible ou unha arquitectura previa ao inicio de sesión documentada que a organización admita, e planifique o cambio de licenza antes de construír perfís e certificados arredor dunha capacidade que a máquina non pode executar.

Anote a edición, o estado de unión, a localización do certificado e a canle de aprovisionamento nas notas de despregamento. Así o seguinte enxeñeiro poderá confirmar a elixibilidade en minutos en lugar de repetir a mesma depuración do perfil nunha máquina que nunca se tería conectado.