Bereik van Windows VPN-profiel: huidige gebruiker of alle gebruikers?
Het bereik bepaalt waar een native Windows VPN-profiel wordt opgeslagen en wie het kan zien. Het maakt de verbinding geen apparaattunnel en deelt geen referenties.
Je voert een opdracht uit tegen een VPN-profiel, hij geeft geen fout terug, en de verbinding die de gebruiker start gedraagt zich precies zoals voorheen. Niets is kapot. Windows bewaart native VPN-profielen in twee opslagplaatsen, en je hebt die bewerkt die niet in gebruik is. Dezelfde weergavenaam kan in beide bestaan, en daarom lijkt een script te slagen terwijl de verbinding van de gebruiker elke wijziging die je hebt gemaakt negeert.
De oplossing is geen beter script; het is het bereik benoemen voordat je het profiel benoemt.
Het symptoom en de twee opslagplaatsen
Windows bewaart native VPN-profielen in een telefoonboek per gebruiker en in een machinebreed telefoonboek voor alle gebruikers. Get-VpnConnection leest de opslagplaats van de huidige gebruiker, en Get-VpnConnection -AllUserConnection leest die van de machine.
Een profiel dat met -AllUserConnection is gemaakt, verschijnt voor elk account op de machine en vereist een verhoogde sessie om het te maken of te verwijderen. Een profiel dat zonder die optie is gemaakt, hoort bij het account dat de opdracht heeft uitgevoerd, en een andere gebruiker die inlogt ziet helemaal niets. Beide kunnen dezelfde naam dragen, en geen van beide waarschuwt je dat de andere bestaat. Daarom ziet het symptoom eruit als een stille fout in plaats van als een foutmelding.
Wat het bereik werkelijk bepaalt
Het bereik beantwoordt twee vragen en weigert een derde te beantwoorden:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Juist de laatste twee rijen begrijpen mensen verkeerd. Een profiel voor alle gebruikers is opslag op machineniveau, geen machine-identiteit, en het maakt de verbinding niet op zichzelf beschikbaar voordat iemand inlogt. Een Windows Always On apparaattunnel is een aparte configuratie met eigen vereisten voor certificaat en profiel. Bereik gaat over wie een profiel kan zien, niet over wat de machine is.
Zichtbaarheid is geen authenticatie
Een profiel voor alle gebruikers heeft nog steeds een ondersteunde regeling voor identiteit en referenties nodig. Het profiel zichtbaar maken voor elk account maakt niet elk account dezelfde geauthenticeerde gebruiker, en het voegt referenties niet samen.
Als het ontwerp vereist dat de tunnel actief is vóór het inloggen, is het antwoord een apparaattunnel en geen breder profielbereik. Als het ontwerp vereist dat elke persoon zijn eigen certificaat overlegt, past een profiel per gebruiker beter bij dat model, omdat een profiel op machineniveau geen referentie kan overleggen die bij iemand anders hoort.
Uitrol en eigendom van beleid
Op beheerde machines kan een EMM of een configuratieprofiel de opgeslagen status na je wijziging opnieuw aanmaken.
Dat is geen bug in je script; het zijn twee eigenaren die naar dezelfde opslagplaats schrijven. Stem het bereik af met wie het beleid bezit, en wijzig liever het beleid dan je opdracht volgens een schema opnieuw uit te voeren. Een lokale correctie die met beleid concurreert, levert een machine op waar het profiel correct lijkt tot de volgende synchronisatie.
Wat je vastlegt als het breekt
Log drie dingen samen: de profielnaam, het bereik dat je hebt gericht, en de werkelijke verbindingsfout.
Een route of certificaat dat op een profiel in de andere opslagplaats is toegepast, lost niet het profiel op dat de gebruiker start, en de fouttekst blijft naar de verbinding wijzen in plaats van naar je bewerking. Maak na een goedgekeurde wijziging opnieuw verbinding via het bedoelde toegangspunt en controleer zowel de toegepaste routering als de opgeslagen instellingen. De profielopslag beantwoordt wat beschikbaar is, terwijl de actieve verbinding beantwoordt wat het apparaat nu doet.
De Microsoft-documentatie voor Add-VpnConnection vermeldt de bereikschakelaar naast de parameters die hij wijzigt, wat een nuttige herinnering is dat bereik een beslissing bij het aanmaken is en geen instelling die je later omzet.