Windows VPN 프로필 범위: 현재 사용자 또는 모든 사용자?

VPN 프로필에 대해 명령을 실행했는데 오류가 반환되지 않고, 사용자가 시작한 연결은 이전과 똑같이 동작합니다. 아무것도 고장 나지 않았습니다. Windows는 네이티브 VPN 프로필을 두 개의 저장소에 보관하며, 여러분은 사용되지 않는 저장소를 편집한 것입니다. 같은 표시 이름이 두 곳에 모두 존재할 수 있으며, 스크립트가 성공한 것처럼 보이는데도 사용자의 연결이 여러분이 만든 모든 변경을 무시하는 이유가 바로 여기에 있습니다.

해결책은 더 나은 스크립트가 아니라, 프로필의 이름을 정하기 전에 범위의 이름을 정하는 것입니다.

증상과 두 개의 저장소

Windows는 네이티브 VPN 프로필을 사용자별 전화 번호부와 모든 사용자를 위한 컴퓨터 전역 전화 번호부에 보관합니다. Get-VpnConnection은 현재 사용자의 저장소를 읽고, Get-VpnConnection -AllUserConnection은 컴퓨터의 저장소를 읽습니다.

-AllUserConnection으로 만든 프로필은 컴퓨터의 모든 계정에 표시되며 만들거나 제거하려면 승격된 세션이 필요합니다. 그것 없이 만든 프로필은 명령을 실행한 계정에 속하며, 다른 사용자가 로그인하면 아무것도 보이지 않습니다. 둘 다 같은 이름을 가질 수 있고, 어느 쪽도 다른 쪽이 존재한다고 경고하지 않습니다. 그래서 증상이 오류 메시지가 아니라 조용한 실패처럼 보이는 것입니다.

범위가 실제로 결정하는 것

범위는 두 가지 질문에 답하고 세 번째 질문에는 답하지 않습니다:

사람들이 잘못 짚는 것은 마지막 두 행입니다. 모든 사용자용 프로필은 컴퓨터 범위의 저장소이지 컴퓨터 ID가 아니며, 누군가 로그인하기 전에 연결을 스스로 사용 가능하게 만들지 않습니다. Windows Always On 장치 터널은 자체 인증서와 프로필 요구 사항을 가진 별도의 구성입니다. 범위는 누가 프로필을 볼 수 있는지에 관한 것이지 컴퓨터가 무엇인지에 관한 것이 아닙니다.

가시성은 인증이 아니다

모든 사용자용 프로필에도 지원되는 ID 및 자격 증명 구성이 필요합니다. 프로필을 모든 계정에서 볼 수 있게 만든다고 해서 모든 계정이 같은 인증된 사용자가 되는 것은 아니며, 자격 증명이 통합되는 것도 아닙니다.

설계에서 로그인 전에 터널이 올라와 있어야 한다면, 답은 더 넓은 프로필 범위가 아니라 장치 터널입니다. 설계에서 각자가 자신의 인증서를 제시해야 한다면 사용자별 프로필이 그 모델에 더 잘 맞습니다. 컴퓨터 범위의 프로필은 다른 사람에게 속한 자격 증명을 제시할 수 없기 때문입니다.

배포와 정책 소유권

관리되는 컴퓨터에서는 EMM이나 구성 프로필이 변경 후 저장된 상태를 다시 만들 수 있습니다.

이것은 스크립트의 버그가 아니라 같은 저장소에 쓰는 두 명의 소유자입니다. 범위를 정책 소유자와 조정하고, 일정에 따라 명령을 다시 실행하기보다 정책을 바꾸는 편을 택하십시오. 정책과 경쟁하는 로컬 수정은 다음 동기화까지 프로필이 올바르게 보이는 컴퓨터를 만듭니다.

고장 났을 때 기록할 것

프로필 이름, 대상으로 삼은 범위, 실제 연결 오류의 세 가지를 함께 기록하십시오.

다른 저장소의 프로필에 적용한 경로나 인증서는 사용자가 시작하는 프로필을 고치지 못하며, 오류 텍스트는 여러분의 편집이 아니라 연결을 계속 가리킬 것입니다. 승인된 변경 후에는 의도한 진입점으로 다시 연결하고 적용된 라우팅과 저장된 설정을 모두 확인하십시오. 프로필 저장소는 무엇이 사용 가능한지에 답하고, 활성 연결은 장치가 지금 무엇을 하는지에 답합니다.

Microsoft의 Add-VpnConnection 문서는 범위 스위치를 그것이 변경하는 매개 변수 옆에 나열하는데, 이는 범위가 만들 때 내리는 결정이지 나중에 바꾸는 설정이 아니라는 유용한 알림입니다.