Túnel de dispositivo no Windows Pro? Consulte a matriz de edições

O perfil chega ao portátil, a página de definições de VPN mostra-o, e o túnel de dispositivo continua a nunca ligar no ecrã de início de sessão. No Windows Pro isto muitas vezes não é um erro de configuração. O túnel de dispositivo nativo é licenciado por edição, e um túnel de utilizador que funciona após o início de sessão prova outra capacidade. Leia o requisito antes de depurar o certificado.

O sintoma aparece antes de alguém iniciar sessão

Um túnel de utilizador liga-se no contexto do utilizador após o início de sessão, e é por isso que funciona normalmente no Pro. Um túnel de dispositivo deve estabelecer a conectividade da máquina antes de qualquer utilizador iniciar sessão, com um certificado de máquina e IKEv2. São fases diferentes do ciclo de vida, não dois nomes do mesmo perfil.

Numa edição não elegível o perfil ainda pode ser implementado e listado, mas a ligação antes do início de sessão não aparece. Após o início de sessão o túnel de utilizador pode funcionar perfeitamente, o que faz a implementação parecer saudável em todas as verificações feitas pelo proprietário da conta. A falha é invisível a partir de uma sessão já iniciada.

Disponibilizar um perfil a todos os utilizadores altera quem o pode utilizar. Não altera o contexto de autenticação de utilizador para máquina, por isso não pode transformar um túnel de utilizador num túnel de dispositivo. A diferença é o contexto de autenticação, não a visibilidade do perfil.

Leia a matriz, não apenas o nó CSP

A matriz de funcionalidades do Windows 11 da Microsoft lista o túnel de dispositivo Always On VPN nativo para Enterprise e Education. O fornecedor do serviço de configuração VPNv2 documenta separadamente um nó DeviceTunnel cuja aplicabilidade inclui Pro, e essa linha é frequentemente citada como prova de que a funcionalidade funciona. A superfície de configuração e o licenciamento da funcionalidade respondem a perguntas diferentes: um diz que uma definição pode ser expressa, o outro diz que a edição tem direito à capacidade.

Confirme a edição e a compilação efetivas em vez de confiar no registo de compra. A ativação gerida, uma atualização em curso ou uma imagem reconstruída podem deixar uma máquina numa edição diferente da indicada na lista de ativos:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Se a saída disser Pro, o túnel de dispositivo nativo está fora do conjunto de funcionalidades documentado para essa máquina. Essa conclusão não exige uma alteração de perfil e não será corrigida por uma. Registe essa descoberta antes de alterar qualquer outra coisa.

Quatro pré-requisitos por trás do sinalizador de funcionalidade

A edição é o portão, e os restantes requisitos explicam porque uma máquina numa edição elegível ainda falha. Verifique-os por ordem, porque cada um pode produzir o mesmo resultado silencioso. Saltar uma linha desperdiça o esforço dedicado às linhas abaixo. A edição vem primeiro por uma razão.

A verificação do certificado é a que as pessoas saltam. A chave privada deve estar presente no armazenamento da máquina e ser utilizável pelo contexto do sistema antes do início de sessão, que é um armazenamento diferente do que um utilizador vê no seu próprio diálogo de certificados:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Um certificado que parece correto no armazenamento do utilizador pode estar completamente ausente do armazenamento da máquina. O túnel de dispositivo falha então a autenticação antes de aparecer o ecrã de início de sessão, e nenhuma reimportação do perfil altera isso. Verifique o armazenamento utilizado pelo serviço, não o que o utilizador vê.

Uma tarefa agendada como SYSTEM não é a funcionalidade

Circula uma solução alternativa que inicia um perfil de VPN a partir de uma tarefa agendada executada como SYSTEM, fazendo aparecer um túnel pouco depois do arranque. Não é o túnel de dispositivo nativo. O motor de tarefas inicia-se noutro momento, a ligação é um perfil em modo de utilizador iniciado por uma conta de serviço e o ciclo de vida não corresponde a um túnel autenticado por máquina que deve existir no ecrã de início de sessão.

Pode passar num teste superficial porque o túnel já está ativo quando alguém inicia sessão e verifica. Esse sucesso mede o atraso entre o arranque e a tarefa, não a conectividade antes do início de sessão, e deixa a máquina sem túnel durante a janela que a funcionalidade devia cobrir.

Trate a solução alternativa como não suportada para produção. Se um desenho depender dela, o requisito é provavelmente uma ligação antes do início de sessão, o que traz a discussão de volta à elegibilidade da edição.

Escolha o requisito antes da tecnologia

Escreva o requisito numa frase: o dispositivo deve alcançar um recurso nomeado antes de qualquer utilizador iniciar sessão, ou o utilizador precisa de acesso após o início de sessão. Se a segunda frase for verdadeira, um túnel de utilizador Always On no Pro é um desenho suportado e o túnel de dispositivo é uma complexidade desnecessária.

Se a primeira frase for verdadeira, a edição é um portão rígido. Escolha uma edição elegível ou uma arquitetura documentada antes do início de sessão que a organização suporte, e planeie a alteração de licença antes de construir perfis e certificados em torno de uma capacidade que a máquina não consegue executar.

Registe a edição, o estado de associação, a localização do certificado e o canal de aprovisionamento nas notas de implementação. O próximo engenheiro poderá então confirmar a elegibilidade em minutos em vez de repetir a mesma resolução de problemas de perfil numa máquina que nunca se iria ligar.