Ambito del profilo VPN di Windows: utente corrente o tutti gli utenti?
L’ambito decide dove viene memorizzato un profilo VPN nativo di Windows e chi può vederlo. Non trasforma la connessione in un tunnel di dispositivo e non condivide le credenziali.
Esegui un comando su un profilo VPN, non restituisce alcun errore e la connessione avviata dall’utente si comporta esattamente come prima. Niente è rotto. Windows conserva i profili VPN nativi in due archivi, e tu hai modificato quello che non è in gioco. Lo stesso nome visualizzato può esistere in entrambi, ed è così che uno script sembra riuscire mentre la connessione dell’utente ignora ogni modifica che hai fatto.
La soluzione non è uno script migliore; è nominare l’ambito prima di nominare il profilo.
Il sintomo e i due archivi
Windows conserva i profili VPN nativi in una rubrica telefonica per utente e in una rubrica a livello di macchina per tutti gli utenti. Get-VpnConnection legge l’archivio dell’utente corrente, e Get-VpnConnection -AllUserConnection legge quello della macchina.
Un profilo creato con -AllUserConnection compare per ogni account della macchina e richiede una sessione elevata per essere creato o rimosso. Un profilo creato senza di esso appartiene all’account che ha eseguito il comando, e un altro utente che accede non vede assolutamente nulla. Entrambi possono portare lo stesso nome, e nessuno dei due ti avverte che l’altro esiste. Per questo il sintomo sembra un guasto silenzioso invece di un messaggio di errore.
Cosa decide davvero l’ambito
L’ambito risponde a due domande e rifiuta di rispondere a una terza:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Sono le ultime due righe quelle che la gente sbaglia. Un profilo per tutti gli utenti è archiviazione con ambito di macchina, non un’identità di macchina, e non rende da solo la connessione disponibile prima che qualcuno acceda. Un tunnel di dispositivo Always On di Windows è una configurazione separata con i propri requisiti di certificato e profilo. L’ambito riguarda chi può vedere un profilo, non cosa sia la macchina.
La visibilità non è autenticazione
Un profilo per tutti gli utenti ha comunque bisogno di un assetto supportato di identità e credenziali. Rendere il profilo visibile a ogni account non rende ogni account lo stesso utente autenticato e non unisce le credenziali.
Se il progetto richiede che il tunnel sia attivo prima dell’accesso, la risposta è un tunnel di dispositivo e non un ambito di profilo più ampio. Se il progetto richiede che ogni persona presenti il proprio certificato, un profilo per utente corrisponde meglio a quel modello, perché un profilo con ambito di macchina non può presentare credenziali che appartengono a qualcun altro.
Distribuzione e proprietà dei criteri
Sulle macchine gestite, un EMM o un profilo di configurazione può ricreare lo stato salvato dopo la tua modifica.
Non è un bug del tuo script; sono due proprietari che scrivono nello stesso archivio. Coordina l’ambito con chi possiede il criterio e preferisci modificare il criterio invece di rieseguire il comando secondo una pianificazione. Una correzione locale che compete con il criterio produce una macchina in cui il profilo sembra corretto fino alla sincronizzazione successiva.
Cosa registrare quando si rompe
Registra tre cose insieme: il nome del profilo, l’ambito che hai scelto e l’errore di connessione reale.
Una route o un certificato applicato a un profilo nell’altro archivio non correggerà quello avviato dall’utente, e il testo dell’errore continuerà a indicare la connessione invece della tua modifica. Dopo una modifica approvata, riconnettiti attraverso il punto di ingresso previsto e ispeziona sia l’instradamento applicato sia le impostazioni salvate. L’archivio dei profili risponde a cosa è disponibile, mentre la connessione attiva risponde a cosa sta facendo il dispositivo adesso.
La documentazione Microsoft per Add-VpnConnection elenca l’opzione di ambito accanto ai parametri che modifica, il che è un utile promemoria del fatto che l’ambito è una decisione presa alla creazione, non un’impostazione che cambi dopo.