Windows su Arm: il driver VPN si caricherà davvero?

Il programma di installazione viene eseguito, la finestra si apre e compare la richiesta di accesso, quindi la migrazione sembra completata. Poi il tunnel fallisce nel punto in cui il client ha bisogno del suo adattatore virtuale, e l’errore menziona un servizio o un driver anziché le credenziali. Su Windows su Arm questa sequenza è comune, perché la regola di compatibilità cambia tra codice in modalità utente e codice in modalità kernel. Approvare un portatile richiede la seconda verifica, non la prima.

Chiedete l’architettura del pacchetto completo, poi verificatela sulla macchina.

La parte che l’emulazione non copre

Windows su Arm può eseguire applicazioni x86 e x64 tramite emulazione finché restano in modalità utente. I componenti in modalità kernel non ricevono questo trattamento: un driver deve essere compilato per Arm64 per caricarsi. Microsoft documenta questo confine, ed è esattamente dove si trovano di solito i client VPN, perché molti installano un adattatore di rete virtuale o un driver di filtro.

Un pacchetto può quindi mostrare un’interfaccia funzionante e restare inutilizzabile. Il guasto si manifesta come adattatore mancante, servizio che non si avvia o tunnel che non si stabilisce mai. È il punto in cui un pilota deve fermarsi. Una schermata di accesso non è prova di un percorso dati funzionante.

Tre condizioni che decidono la migrazione

La prima è il pacchetto. Una build x64 e una build Arm64 sono entrambe dette a 64 bit e non sono intercambiabili, quindi un download descritto solo come Windows a 64 bit non dimostra nulla su un dispositivo Arm. L’installer supportato dal fornitore per quell’architettura è l’unico punto di partenza accettabile.

La seconda sono gli altri componenti richiesti. I controlli sullo stato del dispositivo, gli helper di autenticazione nel browser e il middleware per smart card possono avere ciascuno il proprio requisito di architettura, e un successo del solo tunnel non dimostra che la politica di accesso dell’organizzazione sia soddisfatta.

La terza è il gateway e il suo insieme di client supportati. Se il client approvato non ha una build Arm, un altro client è accettabile solo dove il proprietario del gateway supporta il protocollo di quel client, il suo metodo di autenticazione e il comportamento della sua politica. Un profilo VPN di Windows integrato non può sostituire un client proprietario solo perché entrambi sono descritti come IPsec.

Leggete l’architettura sul dispositivo

Confermate di che macchina si tratta, poi guardate quali driver il pacchetto ha realmente installato. L’enumerazione richiede un minuto ed evita una discussione su cosa significhi "64 bit".

Get-CimInstance Win32_OperatingSystem | Select-Object OSArchitecture
$env:PROCESSOR_ARCHITECTURE
pnputil /enum-drivers | Select-String -Pattern 'vpn|tap|wintun' -Context 0,3
Get-NetAdapter | Format-Table Name,InterfaceDescription,DriverProvider

Se l’elenco degli adattatori non mostra nulla per il client, o la voce del driver segnala una discrepanza di architettura, la migrazione si ferma lì. Mettere un driver Arm64 nel vecchio contenitore non è qualcosa che il fornitore supporta, e le impostazioni della modalità di compatibilità non convertono un driver kernel x64.

Confrontate la versione installata con l’elenco supportato dal fornitore per Arm, e annotate la differenza se l’installer proviene da un repository interno anziché dal fornitore.

Approvate il carico di lavoro, non la schermata di accesso

Eseguite il pilota tenendo disponibile come riserva il dispositivo funzionante precedente. Verificate il provisioning del profilo, l’identità prevista e gli eventuali controlli del dispositivo, poi provate l’applicazione privata invece del solo stato del tunnel.

Includete DNS privato, le route e le famiglie di indirizzi richieste, la riconnessione dopo un cambio di rete e lo stato disconnesso specificato. Registrate le versioni del client e dei componenti insieme al risultato, perché il prossimo aggiornamento riproporrà le stesse domande.

Infine, confermate che esistano percorsi di aggiornamento e rimozione supportati per questa piattaforma. Un pacchetto che funziona solo dopo sostituzioni non documentate crea lo stesso problema di migrazione alla prossima versione, con meno tempo per risolverlo.