מנהרת מכשיר ב-Windows Pro? בדקו את מטריצת המהדורות
פרופיל שנפרס אינו הוכחה לזכאות. השוו את מטריצת המהדורות, צומת CSP ודרישות הכניסה לפני ההתחברות לפני שאתם מאתרים תקלות במנהרה.
הפרופיל מגיע למחשב הנייד, עמוד הגדרות VPN מציג אותו, והמנהרה של המכשיר עדיין אינה מתחברת במסך הכניסה. ב-Windows Pro זה לעתים קרובות אינו שגיאת תצורה. מנהרת המכשיר המקורית מורשית לפי מהדורה, ומנהרת משתמש שעובדת לאחר הכניסה מוכיחה יכולת אחרת. קראו את הדרישה לפני שאתם מאתרים תקלות בתעודה.
התסמין מופיע לפני שמישהו נכנס
מנהרת משתמש מתחברת בהקשר של המשתמש לאחר הכניסה, ולכן היא עובדת כרגיל ב-Pro. מנהרת מכשיר אמורה להקים קישוריות של המחשב לפני שכל משתמש נכנס, באמצעות תעודת מחשב ו-IKEv2. אלה שלבים שונים במחזור החיים, לא שני שמות לאותו פרופיל.
במהדורה שאינה זכאית אפשר עדיין לפרוס ולפרט את הפרופיל, אך החיבור שלפני הכניסה אינו מופיע. לאחר הכניסה מנהרת המשתמש עשויה לעבוד באופן מושלם, מה שגורם לפריסה להיראות תקינה בכל בדיקה שמוביל בעל החשבון. הכשל בלתי נראה מתוך הפעלה שכבר נכנסה.
הפיכת פרופיל לזמין לכל המשתמשים משנה מי רשאי להשתמש בו. היא אינה משנה את הקשר האימות ממשתמש למחשב, ולכן אינה יכולה להפוך מנהרת משתמש למנהרת מכשיר. ההבדל הוא בהקשר האימות, לא בנראות הפרופיל.
המטריצה של
Windows 11 של Microsoft מפרטת את מנהרת המכשיר המקורית של Always On VPN עבור Enterprise ו-Education. של Microsoft מפרטת את מנהרת המכשיר המקורית של Always On VPN עבור Enterprise ו-Education. ספק שירות התצורה VPNv2 מתעד בנפרד צומת DeviceTunnel שהישימות שלו כוללת Pro, והשורה הזו מצוטטת לעתים קרובות כהוכחה שהתכונה עובדת. משטח התצורה ורישוי התכונה עונים על שאלות שונות: האחד אומר שאפשר לבטא הגדרה, האחר אומר שהמהדורה זכאית ליכולת.
אמתו את המהדורה והבנייה בפועל במקום לסמוך על רשומת הרכישה. הפעלה מנוהלת, שדרוג בתהליך או תמונה שנבנתה מחדש יכולים להשאיר מחשב במהדורה שונה מזו שרשימת הנכסים מציינת:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberאם הפלט אומר Pro, מנהרת המכשיר המקורית נמצאת מחוץ למערך התכונות המתועד לאותו מחשב. המסקנה הזו אינה מחייבת שינוי פרופיל והיא לא תתוקן על ידי אחד כזה. רשמו את הממצא לפני שתשנו משהו אחר.
ארבע דרישות מאחורי דגל התכונה
המהדורה היא השער, והדרישות הנותרות מסבירות מדוע מחשב במהדורה זכאית עדיין נכשל. בדקו אותן לפי הסדר, כי כל אחת מהן יכולה להפיק את אותה תוצאה שקטה. דילוג על שורה מבזבז את המאמץ שהושקע בשורות שמתחתיה. המהדורה באה ראשונה מסיבה.
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
בדיקת התעודה היא זו שאנשים מדלגים עליה. המפתח הפרטי חייב להיות בחנות המחשב ושימושי להקשר המערכת לפני הכניסה, וזו חנות אחרת מזו שמשתמש רואה בדיאלוג התעודות שלו:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterתעודה שנראית תקינה בחנות של המשתמש עשויה להיות נעדרת לחלוטין מחנות המחשב. אז מנהרת המכשיר נכשלת באימות לפני שמסך הכניסה מופיע, ושום ייבוא מחדש של הפרופיל לא משנה זאת. בדקו את החנות שהשירות משתמש בה, לא את זו שהמשתמש רואה.
משימה מתוזמנת כ-SYSTEM אינה התכונה
מסתובב פתרון עקיפה שמפעיל פרופיל VPN ממשימה מתוזמנת שרצה כ-SYSTEM, וכך מנהרה מופיעה זמן קצר לאחר האתחול. זו אינה מנהרת המכשיר המקורית. מנוע המשימות מתחיל בנקודה אחרת, החיבור הוא פרופיל במצב משתמש שהופעל על ידי חשבון שירות, ומחזור החיים אינו תואם מנהרה מאומתת על ידי מחשב שחייבת להתקיים במסך הכניסה.
הוא יכול לעבור בדיקה שטחית כי המנהרה פעילה עד שמישהו נכנס ובודק. ההצלחה הזו מודדת את ההשהיה בין האתחול למשימה, לא קישוריות לפני הכניסה, והיא משאירה את המחשב בלי מנהרה במשך החלון שהתכונה הייתה אמורה לכסות.
התייחסו לפתרון העקיפה כלא נתמך לייצור. אם עיצוב תלוי בו, סביר שהדרישה היא חיבור לפני הכניסה, מה שמחזיר את הדיון לזכאות המהדורה.
בחרו את הדרישה לפני הטכנולוגיה
כתבו את הדרישה במשפט אחד: המכשיר חייב להגיע למשאב בעל שם לפני שכל משתמש נכנס, או שהמשתמש זקוק לגישה לאחר הכניסה. אם המשפט השני נכון, מנהרת משתמש Always On ב-Pro היא עיצוב נתמך ומנהרת המכשיר היא מורכבות מיותרת.
אם המשפט הראשון נכון, המהדורה היא שער קשיח. בחרו מהדורה זכאית או ארכיטקטורה מתועדת לפני כניסה שהארגון תומך בה, ותכננו את שינוי הרישוי לפני בניית פרופילים ותעודות סביב יכולת שהמחשב אינו יכול להריץ.
רשמו את המהדורה, מצב ההצטרפות, מיקום התעודה וערוץ האספקה בהערות הפריסה. אז המהנדס הבא יוכל לאשר זכאות בדקות במקום לחזור על אותו תיקון פרופיל במחשב שמעולם לא היה מתחבר.