Enhetstunnel på Windows Pro? Sjekk utgivelsesmatrisen

Profilen lander på den bærbare datamaskinen, VPN-innstillingssiden viser den, og enhetstunnelen kobler likevel aldri til på påloggingsskjermen. På Windows Pro er dette ofte ikke en konfigurasjonsfeil. Den innebygde enhetstunnelen lisensieres per utgave, og en brukertunnel som virker etter pålogging, beviser en annen funksjon. Les kravet før du feilsøker sertifikatet.

Symptomet vises før noen logger på

En brukertunnel kobler til i brukerens kontekst etter pålogging, og derfor virker den normalt på Pro. En enhetstunnel skal etablere maskintilkobling før noen bruker logger på, ved hjelp av et maskinsertifikat og IKEv2. Dette er ulike faser av livssyklusen, ikke to navn for den samme profilen.

På en ikke-kvalifisert utgave kan profilen fortsatt leveres og listes, men tilkoblingen før pålogging vises ikke. Etter pålogging kan brukertunnelen fungere perfekt, noe som får utrullingen til å se sunn ut i hver kontroll som eieren av kontoen utfører. Feilen er usynlig fra innsiden av en økt som allerede er logget på.

Å gjøre en profil tilgjengelig for alle brukere endrer hvem som har lov til å bruke den. Det endrer ikke autentiseringskonteksten fra bruker til maskin, så det kan ikke gjøre en brukertunnel om til en enhetstunnel. Forskjellen er autentiseringskontekst, ikke profilens synlighet.

Les matrisen, ikke bare CSP-noden

Microsofts funksjonsmatrise for Windows 11 lister den innebygde Always On VPN-enhetstunnelen for Enterprise og Education. Konfigurasjonstjenesteleverandøren VPNv2 dokumenterer separat en DeviceTunnel-node der bruksområdet omfatter Pro, og den linjen blir ofte sitert som bevis på at funksjonen virker. Konfigurasjonsflate og funksjonslisensiering svarer på forskjellige spørsmål: den ene sier at en innstilling kan uttrykkes, den andre at utgaven har rett til funksjonen.

Bekreft den faktiske utgaven og builden i stedet for å stole på kjøpsposten. Administrert aktivering, en pågående oppgradering eller et gjenoppbygd avtrykk kan alle etterlate en maskin på en annen utgave enn det aktivlistene sier:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Hvis utdataene sier Pro, er den innebygde enhetstunnelen utenfor det dokumenterte funksjonssettet for den maskinen. Den konklusjonen krever ingen profilendring og blir ikke rettet av en. Noter funnet før du endrer noe annet.

Fire forutsetninger bak funksjonsflagget

Utgaven er porten, og de øvrige kravene forklarer hvorfor en maskin på en kvalifisert utgave fortsatt feiler. Kontroller dem i rekkefølge, fordi hvert av dem kan gi det samme stille resultatet. Å hoppe over en rad sløser med innsatsen som er lagt i radene under. Utgaven kommer først av en grunn.

Sertifikatkontrollen er den folk hopper over. Den private nøkkelen må finnes i maskinlageret og være brukbar for systemkonteksten før pålogging, noe som er et annet lager enn det en bruker ser i sin egen sertifikatdialog:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Et sertifikat som ser riktig ut i brukerens lager, kan mangle helt i maskinlageret. Enhetstunnelen feiler da autentiseringen før påloggingsskjermen vises, og ingen ny import av profilen endrer det. Kontroller lageret tjenesten bruker, ikke det brukeren ser.

En planlagt oppgave som SYSTEM er ikke funksjonen

Det sirkulerer en omvei som starter en VPN-profil fra en planlagt oppgave som kjører som SYSTEM, slik at en tunnel vises kort tid etter oppstart. Det er ikke den innebygde enhetstunnelen. Oppgavemotoren starter på et annet tidspunkt, tilkoblingen er en profil i brukermodus startet av en tjenestekonto, og livssyklusen samsvarer ikke med en maskinautentisert tunnel som må finnes på påloggingsskjermen.

Den kan bestå en overfladisk test fordi tunnelen er oppe når noen logger på og kontrollerer. Den suksessen måler forsinkelsen mellom oppstart og oppgaven, ikke tilkoblingen før pålogging, og den lar maskinen stå uten tunnel i vinduet funksjonen skulle dekke.

Behandle omveien som ikke støttet for produksjon. Hvis et design avhenger av den, er kravet sannsynligvis en tilkobling før pålogging, noe som bringer diskusjonen tilbake til utgivelsens berettigelse.

Velg kravet før teknologien

Skriv kravet som én setning: enheten må nå en navngitt ressurs før noen bruker logger på, eller brukeren trenger tilgang etter pålogging. Hvis den andre setningen er sann, er en Always On-brukertunnel på Pro et støttet design, og enhetstunnelen er unødvendig kompleksitet.

Hvis den første setningen er sann, er utgaven en hard port. Velg en kvalifisert utgave eller en dokumentert arkitektur før pålogging som organisasjonen støtter, og planlegg lisensendringen før du bygger profiler og sertifikater rundt en funksjon maskinen ikke kan kjøre.

Noter utgaven, domeneinnmeldingsstatus, sertifikatplassering og klargjøringskanal i distribusjonsnotatene. Den neste ingeniøren kan da bekrefte berettigelsen på minutter i stedet for å gjenta samme profilfeilsøking på en maskin som aldri ville ha koblet til.