Windows em Arm: o controlador VPN vai carregar realmente?

O instalador é executado, a janela abre-se e surge o pedido de início de sessão, pelo que a migração parece concluída. Depois o túnel falha no ponto em que o cliente precisa do seu adaptador virtual, e o erro menciona um serviço ou controlador em vez de credenciais. No Windows em Arm esta sequência é comum, porque a regra de compatibilidade muda entre código em modo de utilizador e código em modo kernel. Aprovar um portátil exige a segunda verificação, não a primeira.

Peça a arquitetura do pacote completo e depois verifique-a na máquina.

A parte que a emulação não cobre

O Windows em Arm pode executar aplicações x86 e x64 através de emulação desde que permaneçam em modo de utilizador. Os componentes em modo kernel não recebem esse tratamento: um controlador tem de ser compilado para Arm64 para carregar. A Microsoft documenta esse limite, e é exatamente onde os clientes VPN costumam estar, porque muitos instalam um adaptador de rede virtual ou um controlador de filtro.

Assim, um pacote pode apresentar uma interface funcional e continuar inutilizável. A falha aparece como um adaptador em falta, um serviço que não arranca ou um túnel que nunca se estabelece. É o ponto em que um piloto deve parar. Um ecrã de início de sessão não é prova de um caminho de dados funcional.

Três condições que decidem a migração

A primeira é o pacote. Uma compilação x64 e uma compilação Arm64 são ambas chamadas de 64 bits e não são intercambiáveis, pelo que uma transferência descrita apenas como Windows 64 bits não prova nada sobre um dispositivo Arm. O instalador suportado pelo fornecedor para essa arquitetura é o único ponto de partida aceitável.

A segunda são os restantes componentes necessários. As verificações de estado do dispositivo, os auxiliares de autenticação no navegador e o middleware de cartões inteligentes podem ter cada um o seu próprio requisito de arquitetura, e um sucesso apenas do túnel não mostra que a política de acesso da organização está satisfeita.

A terceira é o gateway e o conjunto de clientes suportado. Se o cliente aprovado não tiver compilação para Arm, outro cliente só é aceitável onde o proprietário do gateway suporta o protocolo desse cliente, o seu método de autenticação e o comportamento da sua política. Um perfil VPN do Windows integrado não pode substituir um cliente proprietário só porque ambos são descritos como IPsec.

Leia a arquitetura no dispositivo

Confirme que máquina é e depois veja que controladores o pacote instalou realmente. A enumeração demora um minuto e evita uma discussão sobre o que significa "64 bits".

Get-CimInstance Win32_OperatingSystem | Select-Object OSArchitecture
$env:PROCESSOR_ARCHITECTURE
pnputil /enum-drivers | Select-String -Pattern 'vpn|tap|wintun' -Context 0,3
Get-NetAdapter | Format-Table Name,InterfaceDescription,DriverProvider

Se a lista de adaptadores não mostrar nada para o cliente, ou a entrada do controlador indicar uma incompatibilidade de arquitetura, a migração pára aí. Colocar um controlador Arm64 no contentor antigo não é algo que o fornecedor suporte, e as definições do modo de compatibilidade não convertem um controlador de kernel x64.

Compare a versão instalada com a lista suportada pelo fornecedor para Arm, e registe a diferença se o instalador veio de um repositório interno em vez do fornecedor.

Aprove a carga de trabalho, não o ecrã de início de sessão

Execute o piloto com o dispositivo funcional anterior disponível como alternativa. Verifique o aprovisionamento do perfil, a identidade pretendida e quaisquer verificações do dispositivo, e depois teste a aplicação privada em vez de apenas o estado do túnel.

Inclua o DNS privado, as rotas e as famílias de endereços necessárias, a reconexão após uma mudança de rede e o estado desligado especificado. Registe as versões do cliente e dos componentes juntamente com o resultado, porque a próxima atualização voltará a fazer as mesmas perguntas.

Por fim, confirme que existem caminhos de atualização e remoção suportados para esta plataforma. Um pacote que só funciona após substituições não documentadas cria o mesmo problema de migração na próxima versão, com menos tempo para o resolver.