Ámbito do perfil VPN de Windows: usuario actual ou todos os usuarios?
O ámbito decide onde se garda un perfil VPN nativo de Windows e quen pode velo. Non converte a conexión nun túnel de dispositivo nin comparte credenciais.
Executa un comando sobre un perfil VPN, non devolve ningún erro e a conexión que inicia o usuario compórtase exactamente igual que antes. Nada está roto. Windows garda os perfís VPN nativos en dous almacéns, e vostede editou o que non está en uso. O mesmo nome visible pode existir en ambos, e por iso un script parece funcionar mentres a conexión do usuario ignora cada cambio que fixo.
A solución non é un script mellor; é nomear o ámbito antes de nomear o perfil.
O síntoma e os dous almacéns
Windows garda os perfís VPN nativos nunha axenda de teléfonos por usuario e nunha axenda de toda a máquina para todos os usuarios. Get-VpnConnection le o almacén do usuario actual, e Get-VpnConnection -AllUserConnection le o da máquina.
Un perfil creado con -AllUserConnection aparece para cada conta da máquina e necesita unha sesión elevada para crearse ou eliminarse. Un perfil creado sen esa opción pertence á conta que executou o comando, e outro usuario que inicie sesión non ve absolutamente nada. Ambos poden levar o mesmo nome, e ningún lle avisa de que existe o outro. Por iso o síntoma parece un fallo silencioso en lugar dunha mensaxe de erro.
Que decide realmente o ámbito
O ámbito responde a dúas preguntas e négase a responder unha terceira:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
As dúas últimas filas son as que a xente entende mal. Un perfil para todos os usuarios é almacenamento con ámbito de máquina, non unha identidade de máquina, e non fai por si mesmo que a conexión estea dispoñible antes de que alguén inicie sesión. Un túnel de dispositivo Always On de Windows é unha configuración aparte cos seus propios requisitos de certificado e perfil. O ámbito trata de quen pode ver un perfil, non de que é a máquina.
A visibilidade non é autenticación
Un perfil para todos os usuarios segue necesitando un esquema compatible de identidade e credenciais. Facer visible o perfil para cada conta non converte cada conta no mesmo usuario autenticado, nin agrupa as credenciais.
Se o deseño necesita o túnel activo antes do inicio de sesión, a resposta é un túnel de dispositivo e non un ámbito de perfil máis amplo. Se o deseño necesita que cada persoa presente o seu propio certificado, un perfil por usuario encaixa mellor con ese modelo, porque un perfil con ámbito de máquina non pode presentar unha credencial que pertence a outra persoa.
Despregamento e propiedade das directivas
En máquinas xestionadas, un EMM ou un perfil de configuración pode recrear o estado gardado despois do seu cambio.
Non é un erro do seu script; son dous propietarios escribindo no mesmo almacén. Coordine o ámbito con quen posúe a directiva e prefira cambiar a directiva antes que volver executar o seu comando segundo unha programación. Unha corrección local que compite coa directiva produce unha máquina onde o perfil parece correcto ata a seguinte sincronización.
Que rexistrar cando se rompe
Rexistre tres cousas xuntas: o nome do perfil, o ámbito ao que apuntou e o erro de conexión real.
Unha ruta ou un certificado aplicado a un perfil do outro almacén non arranxará o que inicia o usuario, e o texto do erro seguirá apuntando á conexión en lugar de á súa edición. Tras un cambio aprobado, volva conectarse polo punto de entrada previsto e inspeccione o encamiñamento aplicado, así como a configuración gardada. O almacén de perfís responde que está dispoñible, mentres que a conexión activa responde que está a facer o dispositivo agora.
A documentación de Microsoft para Add-VpnConnection enumera o modificador de ámbito xunto aos parámetros que modifica, o que é un recordatorio útil de que o ámbito é unha decisión que se toma ao crear o perfil, non un axuste que se cambia despois.