Windows VPN profila tvērums: pašreizējais lietotājs vai visi lietotāji?
Tvērums nosaka, kur tiek glabāts vietējais Windows VPN profils un kas to var redzēt. Tas nepārvērš savienojumu ierīces tunelī un nedala akreditācijas datus.
Jūs izpildāt komandu pret VPN profilu, tā neatgriež kļūdu, un lietotāja sāktais savienojums darbojas tieši tāpat kā iepriekš. Nekas nav salūzis. Windows glabā vietējos VPN profilus divās krātuvēs, un jūs rediģējāt to, kas netiek izmantots. Viens un tas pats rādāmais nosaukums var būt abos, un tāpēc skripts šķiet veiksmīgs, kamēr lietotāja savienojums ignorē katru jūsu veikto izmaiņu.
Risinājums nav labāks skripts; risinājums ir nosaukt tvērumu pirms profila nosaukšanas.
Simptoms un abas krātuves
Windows glabā vietējos VPN profilus katra lietotāja tālruņu grāmatā un visas mašīnas visu lietotāju grāmatā. Get-VpnConnection nolasa pašreizējā lietotāja krātuvi, un Get-VpnConnection -AllUserConnection nolasa mašīnas krātuvi.
Profils, kas izveidots ar -AllUserConnection, parādās katram mašīnas kontam, un tā izveidei vai noņemšanai ir nepieciešama paaugstināta sesija. Profils, kas izveidots bez tā, pieder kontam, kurš izpildīja komandu, un cits lietotājs, kurš pieteicas, neredz neko. Abi var nēsāt vienu un to pašu nosaukumu, un neviens no tiem nebrīdina, ka otrs pastāv. Tāpēc simptoms izskatās pēc klusas kļūmes, nevis kļūdas ziņojuma.
Ko tvērums patiešām nosaka
Tvērums atbild uz diviem jautājumiem un atsakās atbildēt uz trešo:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Tieši pēdējās divas rindas cilvēki saprot nepareizi. Profils visiem lietotājiem ir mašīnas tvēruma krātuve, nevis mašīnas identitāte, un tas pats par sevi nepadara savienojumu pieejamu, pirms kāds pieteicas. Windows Always On ierīces tunelis ir atsevišķa konfigurācija ar savām sertifikāta un profila prasībām. Tvērums ir par to, kas var redzēt profilu, nevis par to, kas ir mašīna.
Redzamība nav autentifikācija
Profils visiem lietotājiem joprojām prasa atbalstītu identitātes un akreditācijas datu kārtību. Profila redzamība katram kontam nepadara katru kontu par to pašu autentificēto lietotāju, un tā neapvieno akreditācijas datus.
Ja dizains prasa, lai tunelis būtu pacelts pirms pieteikšanās, atbilde ir ierīces tunelis, nevis plašāks profila tvērums. Ja dizains prasa, lai katra persona uzrādītu savu sertifikātu, profils katram lietotājam labāk atbilst šim modelim, jo mašīnas tvēruma profils nevar uzrādīt akreditācijas datus, kas pieder kādam citam.
Ieviešana un politikas piederība
Pārvaldītās mašīnās EMM vai konfigurācijas profils var atjaunot saglabāto stāvokli pēc jūsu izmaiņas.
Tā nav kļūda jūsu skriptā; tie ir divi īpašnieki, kas raksta vienā krātuvē. Saskaņojiet tvērumu ar to, kam pieder politika, un labāk mainiet politiku, nevis atkārtoti izpildiet savu komandu pēc grafika. Vietējs labojums, kas konkurē ar politiku, rada mašīnu, kurā profils izskatās pareizs līdz nākamajai sinhronizācijai.
Ko reģistrēt, kad tas salūzt
Reģistrējiet trīs lietas kopā: profila nosaukumu, mērķēto tvērumu un faktisko savienojuma kļūdu.
Maršruts vai sertifikāts, kas piemērots profilam otrā krātuvē, nesalabos to, kuru sāk lietotājs, un kļūdas teksts turpinās norādīt uz savienojumu, nevis uz jūsu rediģējumu. Pēc apstiprinātas izmaiņas atkārtoti pievienojieties caur paredzēto ieejas punktu un pārbaudiet gan piemēroto maršrutēšanu, gan saglabātos iestatījumus. Profilu krātuve atbild, kas ir pieejams, bet aktīvais savienojums atbild, ko ierīce dara tagad.
Microsoft dokumentācija par Add-VpnConnection uzskaita tvēruma slēdzi blakus parametriem, ko tas maina, un tas ir noderīgs atgādinājums, ka tvērums ir lēmums izveides laikā, nevis iestatījums, ko pārslēdzat vēlāk.