Eszközalagút Windows Pro alatt? Ellenőrizze a kiadások mátrixát

A profil megérkezik a laptopra, a VPN-beállítások oldal megjeleníti, az eszközalagút mégsem csatlakozik soha a bejelentkezési képernyőn. Windows Pro alatt ez gyakran nem konfigurációs hiba. A natív eszközalagutat kiadás szerint licencelik, a bejelentkezés után működő felhasználói alagút pedig más képességet bizonyít. Olvassa el a követelményt, mielőtt a tanúsítványt vizsgálná.

A tünet azelőtt jelentkezik, hogy bárki bejelentkezne

A felhasználói alagút bejelentkezés után a felhasználó környezetében csatlakozik, ezért működik rendesen Pro alatt. Az eszközalagútnak a gép kapcsolatát bármely felhasználó bejelentkezése előtt kell létrehoznia, gépi tanúsítvány és IKEv2 segítségével. Ezek az életciklus különböző szakaszai, nem ugyanazon profil két neve.

Nem jogosult kiadás esetén a profil továbbra is telepíthető és listázható, de a bejelentkezés előtti kapcsolat nem jelenik meg. Bejelentkezés után a felhasználói alagút tökéletesen működhet, ami miatt a telepítés egészségesnek tűnik a fiók tulajdonosa által végzett minden ellenőrzésben. A hiba a már bejelentkezett munkamenet belsejéből láthatatlan.

A profil minden felhasználó számára elérhetővé tétele megváltoztatja, ki használhatja. Nem változtatja meg a hitelesítési környezetet felhasználóról gépre, ezért nem alakíthat felhasználói alagutat eszközalagúttá. A különbség a hitelesítési környezet, nem a profil láthatósága.

Olvassa a mátrixot, ne csak a CSP-csomópontot

A Microsoft Windows 11 szolgáltatásmátrixa felsorolja a natív Always On VPN eszközalagutat Enterprise és Education kiadásra. A VPNv2 konfigurációs szolgáltatás szolgáltatója külön dokumentál egy DeviceTunnel csomópontot, amelynek alkalmazhatósága tartalmazza a Pro-t, és ezt a sort gyakran idézik annak bizonyítékaként, hogy a funkció működik. A konfigurációs felület és a funkció licencelése különböző kérdésekre válaszol: az egyik azt mondja, hogy egy beállítás kifejezhető, a másik azt, hogy a kiadás jogosult a képességre.

A vásárlási nyilvántartás helyett ellenőrizze a tényleges kiadást és buildet. A felügyelt aktiválás, egy folyamatban lévő frissítés vagy egy újraépített rendszerkép mind más kiadáson hagyhatja a gépet, mint amit az eszközlista állít:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Ha a kimenet Pro-t ír, a natív eszközalagút kívül esik az adott gép dokumentált funkciókészletén. Ez a következtetés nem igényel profilmódosítást, és azzal nem is javul. Rögzítse ezt a megállapítást, mielőtt bármi mást módosítana.

Négy előfeltétel a funkciójelző mögött

A kiadás a kapu, a többi követelmény pedig megmagyarázza, miért vall kudarcot mégis egy jogosult kiadású gép. Sorrendben ellenőrizze őket, mert mindegyik ugyanazt a csendes eredményt adhatja. Egy sor kihagyása elpazarolja az alatta lévő sorokra fordított erőfeszítést. A kiadás okkal jön elsőnek.

A tanúsítványellenőrzés az, amit az emberek kihagynak. A titkos kulcsnak jelen kell lennie a gép tárolójában, és bejelentkezés előtt a rendszerkörnyezet számára használhatónak kell lennie, ami más tároló, mint amit a felhasználó a saját tanúsítványpárbeszédében lát:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Egy a felhasználó tárolójában helyesnek tűnő tanúsítvány teljesen hiányozhat a gép tárolójából. Ekkor az eszközalagút a bejelentkezési képernyő megjelenése előtt meghiúsul a hitelesítésben, és a profil újraimportálása sem változtat ezen. Azt a tárolót ellenőrizze, amelyet a szolgáltatás használ, nem azt, amelyet a felhasználó lát.

A SYSTEM fiókként futó ütemezett feladat nem ez a funkció

Kering egy kerülő megoldás, amely SYSTEM fiókként futó ütemezett feladatból indít VPN-profilt, így az alagút nem sokkal az indítás után megjelenik. Ez nem a natív eszközalagút. A feladatmotor más ponton indul, a kapcsolat egy szolgáltatásfiók által indított felhasználói módú profil, és az életciklus nem egyezik a gépi hitelesítésű alagúttal, amelynek a bejelentkezési képernyőn léteznie kell.

Átmehet egy felületes teszten, mert mire valaki bejelentkezik és ellenőrzi, az alagút már fut. Ez a siker az indítás és a feladat közötti késleltetést méri, nem a bejelentkezés előtti kapcsolatot, és az alagút nélkül hagyja a gépet azon időablak alatt, amelyet a funkciónak le kellett volna fednie.

A kerülő megoldást éles környezetben nem támogatottnak kell tekinteni. Ha egy tervezés függ tőle, a követelmény valószínűleg a bejelentkezés előtti kapcsolat, ami visszavezet a kiadás jogosultságához.

A követelményt válassza a technológia előtt

Írja le a követelményt egy mondatban: az eszköznek el kell érnie egy megnevezett erőforrást, mielőtt bármely felhasználó bejelentkezik, vagy a felhasználónak bejelentkezés után kell hozzáférésre. Ha a második mondat igaz, az Always On felhasználói alagút Pro alatt támogatott tervezés, és az eszközalagút szükségtelen bonyolultság.

Ha az első mondat igaz, a kiadás kemény kapu. Válasszon jogosult kiadást vagy a szervezet által támogatott, dokumentált bejelentkezés előtti architektúrát, és tervezze meg a licencmódosítást, mielőtt profilokat és tanúsítványokat épít egy olyan képesség köré, amelyet a gép nem tud futtatni.

Rögzítse a kiadást, a tartományhoz csatlakozás állapotát, a tanúsítvány helyét és az előkészítési csatornát a telepítési jegyzetekben. A következő mérnök így percek alatt igazolhatja a jogosultságot, ahelyett hogy ugyanazt a profilhibakeresést ismételné egy gépen, amely soha nem csatlakozott volna.