Que libro de teléfonos busca unha tarefa SYSTEM para os perfís VPN?

O seu perfil VPN está xusto aí en Configuración, e a tarefa programada segue informando de que non atopa a conexión. Nada está danado: o almacén VPN nativo de Windows é por usuario salvo que o perfil se crease como perfil para todos os usuarios, e unha tarefa execútase coa conta que indique o seu principal. Normalmente a tarefa le un libro de teléfonos que nunca contivo o seu perfil. Dous comandos e un axuste da tarefa abondan para demostralo, e paga a pena executalos antes de que alguén reconstruía a conexión.

Dous almacéns gardan o mesmo nome de perfil

Un perfil VPN nativo de Windows vive no almacén da conta que o creou. O almacén global é outro libro de teléfonos, que só se enche cando o perfil se crea co conmutador para todos os usuarios nunha sesión elevada. Ambos poden gardar un perfil co mesmo nome, e ningún é unha vista do outro.

Lea ambos os almacéns desde a mesma sesión e compare os nomes que devolven. O conmutador selecciona o almacén global, e lelo adoita requirir unha sesión elevada:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType

Se o primeiro comando enumera o perfil e o segundo non, ningún cambio de credenciais axudará a unha tarefa que se execute con outra conta, porque o problema é a pertenza e non a autenticación. Se ambos o enumeran, o almacén non é a causa e aplícase a sección seguinte. Esa única comparación pecha a metade destes tickets. Anote que almacén respondeu e con que conta executou a comprobación, porque a resposta non significa nada sen ambos os feitos.

Lea o principal da tarefa antes que as súas credenciais

Abra a tarefa e lea o principal, porque lle di que almacén pode ver a tarefa. Unha tarefa configurada para executarse como SYSTEM non é a súa conta con dereitos adicionais: ten o seu propio perfil e ningún acceso ao libro de teléfonos por usuario que creou mentres estaba conectado. Unha conta de servizo compórtase exactamente igual.

A opción de executarse tanto se iniciou sesión como se non tamén cambia isto, porque entón a tarefa non ten ningunha sesión interactiva da que poida tomar prestadas as credenciais. Faga que a acción escriba whoami nun ficheiro e lea a resposta en lugar de supola.

O diagnóstico desde o seu propio terminal non di nada sobre este problema, porque mostra o que ve a súa conta. Execute a comparación baixo a identidade da tarefa mediante o proceso aprobado que teña para iso. A saída pegada desde unha consola de administrador é outro conxunto de datos, non un máis privilexiado. Se non existe tal proceso, a tarefa ten que rexistrar ela mesma a resposta, que é o que prepara a última sección.

Atopar o perfil non é iniciar sesión

Un perfil para todos os usuarios fai a configuración visible de forma máis ampla. Non leva o contrasinal gardado da conta que o creou, e non entrega a outra conta a clave privada almacenada no seu perfil de usuario. Visibilidade e credenciais utilizables son dúas probas separadas, e pasar a primeira non di nada sobre a segunda.

Se a tarefa agora atopa o perfil e falla na autenticación, iso é un avance e a etapa pertence ao rexistro. Mova o certificado ao almacén da máquina, ou proporcione o segredo mediante o mecanismo propio do despregamento, en lugar de recrear outra vez o nome da conexión. Recrealo produce o mesmo fallo cunha marca de tempo máis recente. Microsoft documenta os dous ámbitos entre os que escolle o conmutador do cmdlet.

Os desafíos non interactivos son a trampa detrás desa etapa. Unha solicitude de PIN ou un código dun só uso non poden ser respondidos por unha tarefa sen escritorio, así que un perfil que marca perfectamente a man pode ser inutilizable baixo automatización.

Catro campos que necesita o rexistro da tarefa

Manteña xuntos nun só lugar os valores que deciden o resultado, porque tres deles adoitan quedar implícitos. O rexistro necesita catro liñas:

• Ruta da acción: o script ou o executable que executa a tarefa, non un atallo que se resolve de forma distinta para outra conta.
• Nome do perfil: a cadea exacta, porque dous almacéns poden gardar o mesmo nome apuntando a servidores diferentes.
• Principal: a conta coa que se executa a tarefa, e se ten unha sesión interactiva.
• Método de autenticación: que pode completar realmente ese principal, como un certificado do almacén da máquina en lugar dunha clave no seu perfil de usuario.

Esas catro liñas responden a pregunta que o ticket formula de verdade, que é que configuración utilizou a automatización. Tamén sobreviven á seguinte reconstrución da tarefa, cando o autor orixinal xa non está para explicar por que importaba o nome. Sen elas, o mesmo fallo volve tras o seguinte despregamento e custa outra vez as mesmas horas.

Localice a etapa á que chegou a tarefa

Instrumente a acción en lugar de adiviñar a partir do resultado da última execución. Un envoltorio curto rexistra a identidade, o almacén que pode ver e o resultado da marcación nun só lugar:

whoami
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
rasdial "Office"
schtasks /query /tn "VPN Connect" /v /fo LIST

O comando de marcación imprime o seu propio erro, que adoita ser máis claro que un fallo xenérico da tarefa. A consulta devolve o principal e o último código de resultado un xunto ao outro, así que identidade e resultado son visibles nunha soa vista. Eses dous feitos deciden se o paso seguinte é un cambio de almacén ou un cambio de credenciais.

Por último, separe unha tarefa que se conecta despois de que un usuario inicie sesión dun túnel de dispositivo ou dun fluxo de traballo admitido antes do inicio de sesión. Compartir un só perfil non é un deseño para ningún dos dous, e o campo principal é o que lle di cal dos tres construíu. Se a conectividade debe existir antes do inicio de sesión, o almacén de perfís por usuario é a capa equivocada que reparar.