Einingstunnel på Windows Pro? Sjekk utgåvematrisa

Profilen landar på den berbare datamaskina, sida for VPN-innstillingar viser han, og einingstunnelen koplar likevel aldri til på påloggingsskjermen. På Windows Pro er dette ofte ikkje ein konfigurasjonsfeil. Den innebygde einingstunnelen blir lisensiert per utgåve, og ein brukartunnel som verkar etter pålogging, provar ein annan funksjon. Les kravet før du feilsøkjer sertifikatet.

Symptomet viser seg før nokon loggar på

Ein brukartunnel koplar til i brukaren sin kontekst etter pålogging, og difor verkar han normalt på Pro. Ein einingstunnel skal etablere maskintilkopling før nokon brukar loggar på, ved hjelp av eit maskinsetifikat og IKEv2. Dette er ulike fasar i livssyklusen, ikkje to namn for den same profilen.

På ei utgåve som ikkje kvalifiserer, kan profilen framleis leverast og listast, men tilkoplinga før pålogging blir ikkje synleg. Etter pålogging kan brukartunnelen fungere perfekt, noko som får utrullinga til å sjå sunn ut i kvar kontroll som eigaren av kontoen gjer. Feilen er usynleg frå innsida av ei økt som alt er pålogga.

Å gjere ein profil tilgjengeleg for alle brukarar endrar kven som har lov til å bruke han. Det endrar ikkje autentiseringskonteksten frå brukar til maskin, så det kan ikkje gjere ein brukartunnel om til ein einingstunnel. Skilnaden er autentiseringskontekst, ikkje synlegheita til profilen.

Les matrisa, ikkje berre CSP-noden

Microsoft si funksjonsmatrise for Windows 11 listar den innebygde Always On VPN-einingstunnelen for Enterprise og Education. Konfigurasjonstenesteleverandøren VPNv2 dokumenterer separat ein DeviceTunnel-node der bruksområdet omfattar Pro, og den linja blir ofte sitert som prov på at funksjonen verkar. Konfigurasjonsflate og funksjonslisensiering svarar på ulike spørsmål: den eine seier at ei innstilling kan uttrykkjast, den andre at utgåva har rett til funksjonen.

Stadfest den faktiske utgåva og builden i staden for å stole på kjøpsposten. Administrert aktivering, ei pågåande oppgradering eller eit gjenoppbygd avtrykk kan alle etterlate ei maskin på ei anna utgåve enn det aktivlistene seier:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Viss utdataa seier Pro, er den innebygde einingstunnelen utanfor det dokumenterte funksjonssettet for den maskina. Den konklusjonen krev inga profilendring og blir ikkje retta av ei. Noter funnet før du endrar noko anna.

Fire føresetnader bak funksjonsflagget

Utgåva er porten, og dei andre krava forklarer kvifor ei maskin på ei kvalifisert utgåve framleis feilar. Kontroller dei i rekkjefølgje, fordi kvar av dei kan gi det same stille resultatet. Å hoppe over ei rad sløser med innsatsen som er lagt i radene under. Utgåva kjem først av ein grunn.

Sertifikatkontrollen er den folk hoppar over. Den private nøkkelen må finnast i maskinlageret og vere brukbar for systemkonteksten før pålogging, noko som er eit anna lager enn det ein brukar ser i sin eigen sertifikatdialog:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Eit sertifikat som ser rett ut i brukaren sitt lager, kan mangle heilt i maskinlageret. Einingstunnelen feilar då autentiseringa før påloggingsskjermen blir synleg, og ingen ny import av profilen endrar det. Kontroller lageret tenesta brukar, ikkje det brukaren ser.

Ei planlagd oppgåve som SYSTEM er ikkje funksjonen

Det sirkulerer ein omveg som startar ein VPN-profil frå ei planlagd oppgåve som køyrer som SYSTEM, slik at ein tunnel blir synleg kort tid etter oppstart. Det er ikkje den innebygde einingstunnelen. Oppgåvemotoren startar på eit anna tidspunkt, tilkoplinga er ein profil i brukarmodus starta av ein tenestekonto, og livssyklusen samsvarar ikkje med ein maskinautentisert tunnel som må finnast på påloggingsskjermen.

Han kan bestå ein overfladisk test fordi tunnelen er oppe når nokon loggar på og kontrollerer. Den suksessen måler forseinkinga mellom oppstart og oppgåva, ikkje tilkoplinga før pålogging, og han lèt maskina stå utan tunnel i vindauget funksjonen skulle dekkje.

Behandle omvegen som ikkje støtta for produksjon. Viss eit design er avhengig av han, er kravet truleg ei tilkopling før pålogging, noko som bringer diskusjonen tilbake til kvalifiseringa av utgåva.

Vel kravet før teknologien

Skriv kravet som éin setning: eininga må nå ein namngitt ressurs før nokon brukar loggar på, eller brukaren treng tilgang etter pålogging. Viss den andre setninga er sann, er ein Always On-brukartunnel på Pro eit støtta design, og einingstunnelen er unødig kompleksitet.

Viss den første setninga er sann, er utgåva ein hard port. Vel ei kvalifisert utgåve eller ein dokumentert arkitektur før pålogging som organisasjonen støttar, og planlegg lisensendringa før du byggjer profilar og sertifikat rundt ein funksjon maskina ikkje kan køyre.

Noter utgåva, domenetilknytingsstatus, sertifikatplassering og klargjeringskanal i distribusjonsnotata. Den neste ingeniøren kan då stadfeste kvalifiseringa på minutt i staden for å gjenta same profilfeilsøking på ei maskin som aldri ville ha kopla til.