היקף פרופיל VPN ב-Windows: המשתמש הנוכחי או כל המשתמשים?
ההיקף קובע היכן נשמר פרופיל VPN מקורי של Windows ומי יכול לראות אותו. הוא אינו הופך את החיבור למנהרת מכשיר ואינו משתף פרטי התחברות.
אתם מריצים פקודה על פרופיל VPN, היא אינה מחזירה שגיאה, והחיבור שהמשתמש מפעיל מתנהג בדיוק כמו קודם. שום דבר לא שבור. Windows שומר פרופילי VPN מקוריים בשני מאגרים, ואתם ערכתם את זה שאינו בשימוש. אותו שם תצוגה יכול להתקיים בשניהם, וכך סקריפט נראה מצליח בעוד החיבור של המשתמש מתעלם מכל שינוי שעשיתם.
התיקון אינו סקריפט טוב יותר; הוא לתת שם להיקף לפני שנותנים שם לפרופיל.
התסמין ושני המאגרים
Windows שומר פרופילי VPN מקוריים בספר טלפונים לכל משתמש ובספר טלפונים ברמת המחשב לכל המשתמשים. Get-VpnConnection קורא את המאגר של המשתמש הנוכחי, ו-Get-VpnConnection -AllUserConnection קורא את זה של המחשב.
פרופיל שנוצר עם -AllUserConnection מופיע בכל חשבון במחשב וזקוק להפעלה מוגברת כדי ליצור או להסיר אותו. פרופיל שנוצר בלעדיו שייך לחשבון שהריץ את הפקודה, ומשתמש אחר שמתחבר אינו רואה דבר. שניהם יכולים לשאת את אותו שם, ואף אחד מהם לא מזהיר אתכם שהשני קיים. לכן התסמין נראה כמו כשל שקט ולא כמו הודעת שגיאה.
מה ההיקף באמת קובע
ההיקף עונה על שתי שאלות ומסרב לענות על שאלה שלישית:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
דווקא שתי השורות האחרונות הן מה שאנשים טועים בו. פרופיל לכל המשתמשים הוא אחסון בהיקף המחשב, לא זהות של מחשב, והוא אינו הופך את החיבור לזמין מעצמו לפני שמישהו מתחבר. מנהרת מכשיר Always On של Windows היא תצורה נפרדת עם דרישות תעודה ופרופיל משלה. ההיקף עוסק בשאלה מי רשאי לראות פרופיל, לא בשאלה מהו המחשב.
נראות אינה אימות
פרופיל לכל המשתמשים עדיין זקוק לסידור נתמך של זהות ופרטי התחברות. הפיכת הפרופיל לגלוי לכל חשבון אינה הופכת כל חשבון לאותו משתמש מאומת, והיא אינה מאחדת פרטי התחברות.
אם התכנון דורש שהמנהרה תהיה פעילה לפני ההתחברות, התשובה היא מנהרת מכשיר ולא היקף פרופיל רחב יותר. אם התכנון דורש שכל אדם יציג את התעודה שלו, פרופיל לכל משתמש מתאים יותר למודל הזה, כי פרופיל בהיקף המחשב אינו יכול להציג פרטי התחברות ששייכים למישהו אחר.
פריסה ובעלות על המדיניות
במחשבים מנוהלים, EMM או פרופיל תצורה יכול לשחזר את המצב השמור לאחר השינוי שלכם.
זו אינה תקלה בסקריפט שלכם; אלה שני בעלים שכותבים לאותו מאגר. תאמו את ההיקף עם מי שמחזיק במדיניות, והעדיפו לשנות את המדיניות במקום להריץ שוב את הפקודה לפי לוח זמנים. תיקון מקומי שמתחרה במדיניות יוצר מחשב שבו הפרופיל נראה תקין עד הסנכרון הבא.
מה לתעד כשזה נשבר
תעדו שלושה דברים יחד: שם הפרופיל, ההיקף שאליו כיוונתם ושגיאת החיבור בפועל.
מסלול או תעודה שיושמו על פרופיל במאגר האחר לא יתקנו את זה שהמשתמש מפעיל, וטקסט השגיאה ימשיך להצביע על החיבור ולא על העריכה שלכם. לאחר שינוי מאושר, התחברו מחדש דרך נקודת הכניסה המיועדת ובדקו גם את הניתוב שהוחל וגם את ההגדרות השמורות. מאגר הפרופילים עונה על מה זמין, בעוד החיבור הפעיל עונה על מה המכשיר עושה עכשיו.
התיעוד של Microsoft עבור Add-VpnConnection מפרט את מתג ההיקף לצד הפרמטרים שהוא משנה, וזו תזכורת שימושית לכך שההיקף הוא החלטה בזמן היצירה ולא הגדרה שמחליפים מאוחר יותר.