Windows Pro의 디바이스 터널? 에디션 매트릭스를 확인하세요

프로필은 노트북에 도착하고 VPN 설정 페이지에도 표시되지만, 디바이스 터널은 로그인 화면에서 결코 연결되지 않습니다. Windows Pro에서는 이것이 대개 구성 오류가 아닙니다. 네이티브 디바이스 터널은 에디션별로 라이선스가 부여되며, 로그인 후 작동하는 사용자 터널은 다른 기능을 증명할 뿐입니다. 인증서를 디버깅하기 전에 요구 사항을 읽으세요.

증상은 누군가 로그인하기 전에 나타납니다

사용자 터널은 로그인 후 사용자 컨텍스트에서 연결되므로 Pro에서도 정상적으로 작동합니다. 디바이스 터널은 어떤 사용자든 로그온하기 전에 머신 인증서와 IKEv2를 사용해 머신 연결을 설정해야 합니다. 이 둘은 수명 주기의 서로 다른 단계이지, 같은 프로필의 두 이름이 아닙니다.

적격하지 않은 에디션에서도 프로필은 배포되고 목록에 표시될 수 있지만, 로그인 전 연결은 나타나지 않습니다. 로그인 후 사용자 터널이 완벽하게 작동할 수 있어, 계정 소유자가 수행하는 모든 점검에서 배포가 정상으로 보입니다. 이 실패는 이미 로그인한 세션 내부에서는 보이지 않습니다.

프로필을 모든 사용자가 사용할 수 있게 하면 누가 사용할 수 있는지만 바뀝니다. 인증 컨텍스트가 사용자에서 머신으로 바뀌지는 않으므로 사용자 터널을 디바이스 터널로 만들 수 없습니다. 차이는 프로필 가시성이 아니라 인증 컨텍스트입니다.

매트릭스를 읽으세요. CSP 노드만 보지 마세요

Microsoft의 Windows 11 기능 매트릭스에는 Enterprise 및 Education용 네이티브 Always On VPN 디바이스 터널이 나열되어 있습니다. VPNv2 구성 서비스 공급자는 DeviceTunnel 노드를 별도로 문서화하며 그 적용 범위에 Pro가 포함되는데, 이 줄이 기능이 작동한다는 증거로 자주 인용됩니다. 구성 표면과 기능 라이선스는 서로 다른 질문에 답합니다. 하나는 설정을 표현할 수 있다고 말하고, 다른 하나는 해당 에디션에 그 기능에 대한 권리가 있다고 말합니다.

구매 기록을 믿는 대신 실제 에디션과 빌드를 확인하세요. 관리형 정품 인증, 진행 중인 업그레이드 또는 다시 빌드한 이미지는 자산 목록에 적힌 것과 다른 에디션에 머신을 남길 수 있습니다:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

출력이 Pro라고 하면 해당 머신에 문서화된 기능 집합 밖에 네이티브 디바이스 터널이 있습니다. 그 결론에는 프로필 변경이 필요하지 않으며 변경으로 고쳐지지도 않습니다. 다른 무엇이든 바꾸기 전에 이 발견을 기록하세요.

기능 플래그 뒤의 네 가지 필수 조건

에디션이 관문이며, 나머지 요구 사항은 적격 에디션의 머신이 왜 여전히 실패하는지 설명합니다. 각각이 같은 조용한 결과를 낼 수 있으므로 순서대로 확인하세요. 한 행을 건너뛰면 그 아래 행에 쏟은 노력이 낭비됩니다. 에디션이 먼저 오는 데는 이유가 있습니다.

인증서 점검은 사람들이 건너뛰는 항목입니다. 개인 키는 머신 저장소에 있어야 하고 로그인 전에 시스템 컨텍스트에서 사용할 수 있어야 하며, 이는 사용자가 자신의 인증서 대화 상자에서 보는 저장소와 다른 저장소입니다:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

사용자 저장소에서 올바르게 보이는 인증서가 머신 저장소에는 전혀 없을 수 있습니다. 그러면 디바이스 터널은 로그온 화면이 나타나기 전에 인증에 실패하며, 프로필을 다시 가져와도 바뀌지 않습니다. 서비스가 사용하는 저장소를 확인하고, 사용자가 보는 저장소를 확인하지 마세요.

SYSTEM으로 실행되는 예약 작업은 그 기능이 아닙니다

SYSTEM으로 실행되는 예약 작업에서 VPN 프로필을 시작해 부팅 직후 터널이 나타나게 하는 우회 방법이 돌고 있습니다. 그것은 네이티브 디바이스 터널이 아닙니다. 작업 엔진은 다른 시점에 시작하고, 연결은 서비스 계정이 시작한 사용자 모드 프로필이며, 수명 주기는 로그인 화면에 존재해야 하는 머신 인증 터널과 일치하지 않습니다.

누군가 로그인해 확인할 때쯤 터널이 이미 올라와 있으므로 간단한 테스트를 통과할 수 있습니다. 그 성공은 부팅과 작업 사이의 지연을 측정할 뿐 로그인 전 연결을 측정하지 않으며, 기능이 덮어야 했던 시간 동안 머신을 터널 없이 남깁니다.

이 우회 방법은 프로덕션에서 지원되지 않는 것으로 취급하세요. 설계가 그것에 의존한다면 요구 사항은 아마도 로그인 전 연결이며, 이는 논의를 다시 에디션 적격성으로 되돌립니다.

기술보다 요구 사항을 먼저 선택하세요

요구 사항을 한 문장으로 쓰세요. 어떤 사용자든 로그인하기 전에 디바이스가 이름이 지정된 리소스에 도달해야 하거나, 사용자가 로그인 후 접근이 필요합니다. 두 번째 문장이 사실이라면 Pro의 Always On 사용자 터널은 지원되는 설계이고 디바이스 터널은 불필요한 복잡성입니다.

첫 번째 문장이 사실이라면 에디션은 단단한 관문입니다. 적격 에디션 또는 조직이 지원하는 문서화된 로그인 전 아키텍처를 선택하고, 머신이 실행할 수 없는 기능을 중심으로 프로필과 인증서를 구축하기 전에 라이선스 변경을 계획하세요.

배포 노트에 에디션, 조인 상태, 인증서 위치, 프로비저닝 채널을 기록하세요. 그러면 다음 엔지니어는 결코 연결되지 않았을 머신에서 같은 프로필 문제 해결을 반복하는 대신 몇 분 만에 적격성을 확인할 수 있습니다.