Cakupan profil VPN Windows: pengguna saat ini atau semua pengguna?
Cakupan menentukan tempat profil VPN bawaan Windows disimpan dan siapa yang dapat melihatnya. Ini tidak menjadikan koneksi sebagai tunnel perangkat dan tidak membagikan kredensial.
Anda menjalankan perintah terhadap profil VPN, perintah itu tidak mengembalikan kesalahan, dan koneksi yang dijalankan pengguna berperilaku persis seperti sebelumnya. Tidak ada yang rusak. Windows menyimpan profil VPN bawaan di dua penyimpanan, dan Anda mengedit penyimpanan yang tidak dipakai. Nama tampilan yang sama dapat ada di keduanya, dan itulah sebabnya skrip tampak berhasil sementara koneksi pengguna mengabaikan setiap perubahan yang Anda buat.
Solusinya bukan skrip yang lebih baik; solusinya adalah menyebut cakupan sebelum menyebut profil.
Gejala, dan dua penyimpanan
Windows menyimpan profil VPN bawaan di buku telepon per pengguna dan di buku telepon seluruh mesin untuk semua pengguna. Get-VpnConnection membaca penyimpanan pengguna saat ini, dan Get-VpnConnection -AllUserConnection membaca penyimpanan mesin.
Profil yang dibuat dengan -AllUserConnection muncul untuk setiap akun di mesin dan memerlukan sesi yang ditinggikan untuk membuat atau menghapusnya. Profil yang dibuat tanpanya milik akun yang menjalankan perintah, dan pengguna lain yang masuk tidak melihat apa pun. Keduanya dapat memakai nama yang sama, dan tidak satu pun memperingatkan Anda bahwa yang lain ada. Itulah sebabnya gejalanya tampak seperti kegagalan diam-diam alih-alih pesan kesalahan.
Apa yang sebenarnya ditentukan cakupan
Cakupan menjawab dua pertanyaan dan menolak menjawab pertanyaan ketiga:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Dua baris terakhir itulah yang salah dipahami orang. Profil untuk semua pengguna adalah penyimpanan bercakupan mesin, bukan identitas mesin, dan itu sendiri tidak membuat koneksi tersedia sebelum seseorang masuk. Tunnel perangkat Always On Windows adalah konfigurasi terpisah dengan persyaratan sertifikat dan profilnya sendiri. Cakupan berbicara tentang siapa yang dapat melihat profil, bukan tentang apa itu mesin.
Visibilitas bukan autentikasi
Profil untuk semua pengguna tetap memerlukan pengaturan identitas dan kredensial yang didukung. Membuat profil terlihat oleh setiap akun tidak membuat setiap akun menjadi pengguna terautentikasi yang sama, dan tidak menyatukan kredensial.
Jika desain memerlukan tunnel sudah aktif sebelum masuk, jawabannya adalah tunnel perangkat, bukan cakupan profil yang lebih luas. Jika desain memerlukan setiap orang menunjukkan sertifikatnya sendiri, profil per pengguna lebih cocok dengan model itu, karena profil bercakupan mesin tidak dapat menunjukkan kredensial milik orang lain.
Penerapan dan kepemilikan kebijakan
Pada mesin yang dikelola, EMM atau profil konfigurasi dapat membuat ulang status tersimpan setelah perubahan Anda.
Ini bukan bug pada skrip Anda; ini dua pemilik yang menulis ke penyimpanan yang sama. Selaraskan cakupan dengan pemilik kebijakan, dan utamakan mengubah kebijakan daripada menjalankan ulang perintah Anda sesuai jadwal. Perbaikan lokal yang bersaing dengan kebijakan menghasilkan mesin yang profilnya tampak benar sampai sinkronisasi berikutnya.
Apa yang dicatat saat rusak
Catat tiga hal bersama-sama: nama profil, cakupan yang Anda tuju, dan kesalahan koneksi yang sebenarnya.
Rute atau sertifikat yang diterapkan pada profil di penyimpanan lain tidak akan memperbaiki profil yang dijalankan pengguna, dan teks kesalahan akan terus menunjuk ke koneksi alih-alih ke editan Anda. Setelah perubahan disetujui, sambungkan ulang melalui titik masuk yang dimaksud dan periksa perutean yang diterapkan serta pengaturan tersimpan. Penyimpanan profil menjawab apa yang tersedia, sedangkan koneksi aktif menjawab apa yang sedang dilakukan perangkat sekarang.
Dokumentasi Microsoft untuk Add-VpnConnection mencantumkan sakelar cakupan di samping parameter yang diubahnya, yang merupakan pengingat berguna bahwa cakupan adalah keputusan saat pembuatan, bukan pengaturan yang Anda ubah belakangan.