Apparaattunnel op Windows Pro? Controleer de editiematrix

Het profiel komt op de laptop aan, de VPN-instellingenpagina toont het, en toch maakt de apparaattunnel nooit verbinding op het aanmeldingsscherm. Op Windows Pro is dat vaak geen configuratiefout. De native apparaattunnel wordt per editie gelicentieerd, en een gebruikerstunnel die na aanmelding werkt, bewijst een andere mogelijkheid. Lees de vereiste voordat u het certificaat debugt.

Het symptoom verschijnt voordat iemand zich aanmeldt

Een gebruikerstunnel maakt na aanmelding verbinding in de context van de gebruiker, daarom werkt hij normaal op Pro. Een apparaattunnel hoort machineconnectiviteit tot stand te brengen voordat een gebruiker zich aanmeldt, met een machinecertificaat en IKEv2. Dat zijn verschillende fasen van de levenscyclus, geen twee namen voor hetzelfde profiel.

Op een niet-geschikte editie kan het profiel nog steeds worden uitgerold en vermeld, maar de verbinding vóór aanmelding verschijnt niet. Na aanmelding kan de gebruikerstunnel perfect werken, waardoor de uitrol in elke controle van de accounthouder gezond lijkt. De fout is onzichtbaar vanuit een sessie waarin al is aangemeld.

Een profiel voor alle gebruikers beschikbaar maken verandert wie het mag gebruiken. Het verandert de authenticatiecontext niet van gebruiker naar machine, dus het kan een gebruikerstunnel niet in een apparaattunnel veranderen. Het verschil is authenticatiecontext, niet de zichtbaarheid van het profiel.

Lees de matrix, niet alleen het CSP-knooppunt

De functiematrix van Windows 11 van Microsoft vermeldt de native Always On VPN-apparaattunnel voor Enterprise en Education. De configuratieserviceprovider VPNv2 documenteert apart een DeviceTunnel-knooppunt waarvan de toepasselijkheid Pro omvat, en die regel wordt vaak aangehaald als bewijs dat de functie werkt. Configuratieoppervlak en functielicentie beantwoorden verschillende vragen: de ene zegt dat een instelling kan worden uitgedrukt, de andere dat de editie recht heeft op de mogelijkheid.

Bevestig de effectieve editie en build in plaats van het aankooprecord te vertrouwen. Beheerde activering, een lopende upgrade of een herbouwd image kunnen een machine op een andere editie achterlaten dan de assetlijst zegt:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Als de uitvoer Pro zegt, valt de native apparaattunnel buiten de gedocumenteerde functieset voor die machine. Die conclusie vereist geen profielwijziging en wordt er ook niet door opgelost. Leg die bevinding vast voordat u iets anders wijzigt.

Vier vereisten achter de functievlag

De editie is de poort, en de overige vereisten verklaren waarom een machine op een geschikte editie toch faalt. Controleer ze in volgorde, want elk kan hetzelfde stille resultaat opleveren. Een rij overslaan verspilt de inspanning voor de rijen eronder. De editie komt eerst met een reden.

De certificaatcontrole is degene die mensen overslaan. De persoonlijke sleutel moet aanwezig zijn in het machinearchief en vóór aanmelding bruikbaar zijn voor de systeemcontext, wat een ander archief is dan het archief dat een gebruiker in zijn eigen certificaatdialoog ziet:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Een certificaat dat in het archief van de gebruiker correct lijkt, kan volledig ontbreken in het machinearchief. De apparaattunnel faalt dan op authenticatie voordat het aanmeldingsscherm verschijnt, en geen enkele herimport van het profiel verandert dat. Controleer het archief dat de service gebruikt, niet dat wat de gebruiker ziet.

Een geplande taak als SYSTEM is de functie niet

Er circuleert een omweg die een VPN-profiel start vanuit een geplande taak die als SYSTEM draait, waardoor kort na het opstarten een tunnel verschijnt. Dat is niet de native apparaattunnel. De taakengine start op een ander moment, de verbinding is een profiel in gebruikersmodus dat door een serviceaccount is gestart, en de levenscyclus komt niet overeen met een door de machine geauthenticeerde tunnel die op het aanmeldingsscherm moet bestaan.

Hij kan een oppervlakkige test doorstaan omdat de tunnel actief is tegen de tijd dat iemand zich aanmeldt en controleert. Dat succes meet de vertraging tussen opstarten en de taak, niet de connectiviteit vóór aanmelding, en het laat de machine zonder tunnel achter tijdens het venster dat de functie had moeten dekken.

Behandel de omweg als niet ondersteund voor productie. Als een ontwerp ervan afhangt, is de vereiste waarschijnlijk een verbinding vóór aanmelding, wat de discussie terugbrengt naar de geschiktheid van de editie.

Kies de vereiste vóór de technologie

Schrijf de vereiste in één zin: het apparaat moet een genoemde resource bereiken voordat een gebruiker zich aanmeldt, of de gebruiker heeft toegang nodig na aanmelding. Als de tweede zin waar is, is een Always On-gebruikerstunnel op Pro een ondersteund ontwerp en is de apparaattunnel onnodige complexiteit.

Als de eerste zin waar is, is de editie een harde poort. Kies een geschikte editie of een gedocumenteerde architectuur vóór aanmelding die de organisatie ondersteunt, en plan de licentiewijziging voordat u profielen en certificaten bouwt rond een mogelijkheid die de machine niet kan uitvoeren.

Leg de editie, de join-status, de certificaatlocatie en het inrichtingskanaal vast in de uitrolnotities. De volgende engineer kan de geschiktheid dan binnen enkele minuten bevestigen in plaats van dezelfde profielproblemen te herhalen op een machine die nooit verbinding zou hebben gemaakt.