Opseg VPN profila u Windowsu: trenutačni korisnik ili svi korisnici?
Opseg određuje gdje se izvorni VPN profil u Windowsu pohranjuje i tko ga može vidjeti. On ne pretvara vezu u tunel uređaja i ne dijeli vjerodajnice.
Pokrenete naredbu nad VPN profilom, ona ne vrati pogrešku, a veza koju korisnik pokrene ponaša se točno kao prije. Ništa nije pokvareno. Windows drži izvorne VPN profile u dva spremišta, a vi ste uredili ono koje nije u igri. Isti prikazani naziv može postojati u obama, i zato se skripta čini uspješnom dok korisnička veza zanemaruje svaku vašu promjenu.
Rješenje nije bolja skripta; rješenje je imenovati opseg prije nego što imenujete profil.
Simptom i dva spremišta
Windows drži izvorne VPN profile u telefonskom imeniku po korisniku i u imeniku na razini računala za sve korisnike. Get-VpnConnection čita spremište trenutačnog korisnika, a Get-VpnConnection -AllUserConnection čita ono na razini računala.
Profil stvoren s -AllUserConnection pojavljuje se za svaki račun na stroju i za stvaranje ili uklanjanje traži sesiju s povišenim ovlastima. Profil stvoren bez toga pripada računu koji je pokrenuo naredbu, a drugi korisnik koji se prijavi ne vidi ništa. Oba mogu nositi isti naziv i nijedan vas ne upozorava da drugi postoji. Zato simptom izgleda kao tiha pogreška, a ne kao poruka o pogrešci.
Što opseg zapravo određuje
Opseg odgovara na dva pitanja i odbija odgovoriti na treće:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Ljudi pogrešno shvaćaju upravo posljednja dva retka. Profil za sve korisnike pohrana je na razini stroja, a ne identitet stroja, i sam po sebi ne čini vezu dostupnom prije nego se itko prijavi. Windows Always On tunel uređaja zasebna je konfiguracija s vlastitim zahtjevima za certifikat i profil. Opseg se tiče toga tko može vidjeti profil, a ne toga što je stroj.
Vidljivost nije provjera identiteta
Profil za sve korisnike i dalje treba podržan raspored identiteta i vjerodajnica. Činjenica da je profil vidljiv svakom računu ne čini svaki račun istim provjerenim korisnikom i ne objedinjuje vjerodajnice.
Ako dizajn traži da tunel bude podignut prije prijave, odgovor je tunel uređaja, a ne širi opseg profila. Ako dizajn traži da svaka osoba predoči vlastiti certifikat, profil po korisniku bolje odgovara tom modelu, jer profil na razini stroja ne može predočiti vjerodajnicu koja pripada nekom drugom.
Uvođenje i vlasništvo nad pravilima
Na upravljanim strojevima EMM ili konfiguracijski profil može ponovno stvoriti spremljeno stanje nakon vaše promjene.
To nije programska pogreška u vašoj skripti; to su dva vlasnika koja pišu u isto spremište. Uskladite opseg s onim tko posjeduje pravila i radije promijenite pravila nego što naredbu ponovno pokrećete po rasporedu. Lokalno rješenje koje se natječe s pravilima stvara stroj na kojem profil izgleda ispravno do sljedeće sinkronizacije.
Što zabilježiti kad se pokvari
Zabilježite tri stvari zajedno: naziv profila, opseg koji ste ciljali i stvarnu pogrešku veze.
Ruta ili certifikat primijenjen na profil u drugom spremištu neće popraviti onaj koji korisnik pokreće, a tekst pogreške nastavit će upućivati na vezu, a ne na vaše uređivanje. Nakon odobrene promjene ponovno se povežite preko predviđene ulazne točke i pregledajte primijenjeno usmjeravanje, kao i spremljene postavke. Spremište profila odgovara što je dostupno, a aktivna veza odgovara što uređaj sada radi.
Microsoftova dokumentacija za Add-VpnConnection navodi prekidač opsega uz parametre koje mijenja, što je koristan podsjetnik da je opseg odluka donesena pri stvaranju, a ne postavka koju kasnije prebacujete.