Įrenginio tunelis „Windows Pro“? Patikrinkite leidimų matricą
Įdiegtas profilis nėra tinkamumo įrodymas. Prieš derindami tunelį palyginkite leidimų matricą, CSP mazgą ir prisijungimo išankstines sąlygas.
Profilis atsiranda nešiojamajame kompiuteryje, VPN nustatymų puslapis jį rodo, o įrenginio tunelis vis tiek niekada neprisijungia prisijungimo ekrane. „Windows Pro“ atveju tai dažnai nėra konfigūracijos klaida. Natyvusis įrenginio tunelis licencijuojamas pagal leidimą, o vartotojo tunelis, veikiantis po prisijungimo, įrodo kitą galimybę. Perskaitykite reikalavimą prieš derindami sertifikatą.
Simptomas pasirodo prieš kam nors prisijungiant
Vartotojo tunelis prisijungia vartotojo kontekste po prisijungimo, todėl „Pro“ veikia įprastai. Įrenginio tunelis turi užmegzti mašinos ryšį prieš bet kuriam vartotojui prisijungiant, naudojant mašinos sertifikatą ir IKEv2. Tai yra skirtingi gyvavimo ciklo etapai, o ne du to paties profilio pavadinimai.
Netinkamame leidime profilį vis tiek galima įdiegti ir išvardyti, bet ryšys prieš prisijungimą nepasirodo. Po prisijungimo vartotojo tunelis gali veikti nepriekaištingai, todėl diegimas atrodo sveikas kiekvienoje patikroje, kurią atlieka paskyros savininkas. Gedimas nematomas jau prisijungusioje sesijoje.
Profilio prieinamumas visiems vartotojams keičia, kas gali jį naudoti. Jis nekeičia autentifikavimo konteksto iš vartotojo į mašiną, todėl negali paversti vartotojo tunelio įrenginio tuneliu. Skirtumas yra autentifikavimo kontekstas, o ne profilio matomumas.
Skaitykite matricą, o ne tik CSP mazgą
„Microsoft“ „Windows 11“ funkcijų matrica išvardija natyvųjį „Always On VPN“ įrenginio tunelį, skirtą „Enterprise“ ir „Education“. VPNv2 konfigūracijos paslaugos teikėjas atskirai dokumentuoja „DeviceTunnel“ mazgą, kurio taikymas apima „Pro“, ir ši eilutė dažnai cituojama kaip įrodymas, kad funkcija veikia. Konfigūracijos paviršius ir funkcijos licencijavimas atsako į skirtingus klausimus: vienas sako, kad nustatymą galima išreikšti, kitas – kad leidimas turi teisę į tą galimybę.
Patvirtinkite faktinį leidimą ir versiją, o ne pasitikėkite pirkimo įrašu. Valdomas aktyvavimas, vykstantis naujinimas ar perstatytas vaizdas gali palikti mašiną kitame leidime, nei nurodyta turto sąraše:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberJei išvestis rodo „Pro“, natyvusis įrenginio tunelis nepatenka į dokumentuotą šios mašinos funkcijų rinkinį. Ši išvada nereikalauja profilio pakeitimo ir juo nebus ištaisyta. Užrašykite šį radinį prieš ką nors kita keisdami.
Keturi reikalavimai už funkcijos vėliavėlės
Leidimas yra vartai, o likę reikalavimai paaiškina, kodėl tinkamo leidimo mašina vis tiek nepavyksta. Tikrinkite juos iš eilės, nes kiekvienas gali duoti tą patį tylų rezultatą. Praleidus eilutę, eikvojamos pastangos, skirtos eilutėms žemiau. Leidimas pirmas ne be priežasties.
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
Sertifikato patikra yra ta, kurią žmonės praleidžia. Privatusis raktas turi būti mašinos saugykloje ir prieš prisijungimą būti naudojamas sistemos konteksto, o tai yra kita saugykla nei ta, kurią vartotojas mato savo sertifikatų dialoge:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterSertifikatas, kuris vartotojo saugykloje atrodo tinkamas, mašinos saugykloje gali visiškai nebūti. Tada įrenginio tunelis nepraeina autentifikavimo prieš pasirodant prisijungimo ekranui, ir joks profilio pakartotinis importavimas to nepakeis. Tikrinkite saugyklą, kurią naudoja paslauga, o ne tą, kurią mato vartotojas.
Suplanuota užduotis kaip SYSTEM nėra ši funkcija
Sklando apėjimo sprendimas, kuris paleidžia VPN profilį iš suplanuotos užduoties, veikiančios kaip SYSTEM, todėl tunelis atsiranda netrukus po įkrovimo. Tai nėra natyvusis įrenginio tunelis. Užduočių mechanizmas paleidžiamas kitu momentu, ryšys yra vartotojo režimo profilis, kurį paleidžia paslaugos paskyra, o gyvavimo ciklas neatitinka mašinos autentifikuoto tunelio, kuris turi egzistuoti prisijungimo ekrane.
Jis gali praeiti paviršutinišką testą, nes tunelis jau veikia, kai kas nors prisijungia ir patikrina. Ta sėkmė matuoja delsą tarp įkrovimo ir užduoties, o ne ryšį prieš prisijungimą, ir palieka mašiną be tunelio tuo metu, kai funkcija turėjo jį uždengti.
Laikykite apėjimo sprendimą nepalaikomu gamyboje. Jei dizainas nuo jo priklauso, reikalavimas greičiausiai yra ryšys prieš prisijungimą, o tai grąžina diskusiją prie leidimo tinkamumo.
Pasirinkite reikalavimą prieš technologiją
Parašykite reikalavimą vienu sakiniu: įrenginys turi pasiekti nurodytą išteklių prieš bet kuriam vartotojui prisijungiant, arba vartotojui reikia prieigos po prisijungimo. Jei antrasis sakinys teisingas, „Always On“ vartotojo tunelis „Pro“ yra palaikomas dizainas, o įrenginio tunelis yra nereikalinga sudėtingybė.
Jei pirmasis sakinys teisingas, leidimas yra kieti vartai. Pasirinkite tinkamą leidimą arba organizacijos palaikomą dokumentuotą priešprisijungiminę architektūrą ir suplanuokite licencijos pakeitimą prieš kurdami profilius ir sertifikatus aplink galimybę, kurios mašina negali vykdyti.
Įrašykite leidimą, prisijungimo prie domeno būseną, sertifikato vietą ir paruošimo kanalą diegimo pastabose. Tada kitas inžinierius galės per minutes patvirtinti tinkamumą, užuot kartojęs tą patį profilio trikčių šalinimą mašinoje, kuri niekada nebūtų prisijungusi.