Âmbito do perfil VPN do Windows: utilizador atual ou todos os utilizadores?
O âmbito decide onde é armazenado um perfil VPN nativo do Windows e quem o pode ver. Não transforma a ligação num túnel de dispositivo nem partilha credenciais.
Executa um comando contra um perfil VPN, ele não devolve qualquer erro e a ligação que o utilizador inicia comporta-se exatamente como antes. Nada está avariado. O Windows guarda os perfis VPN nativos em dois armazenamentos, e editou aquele que não está em uso. O mesmo nome apresentado pode existir em ambos, e é por isso que um script parece funcionar enquanto a ligação do utilizador ignora cada alteração que fez.
A solução não é um script melhor; é nomear o âmbito antes de nomear o perfil.
O sintoma e os dois armazenamentos
O Windows guarda os perfis VPN nativos numa lista telefónica por utilizador e numa lista ao nível da máquina para todos os utilizadores. O Get-VpnConnection lê o armazenamento do utilizador atual, e o Get-VpnConnection -AllUserConnection lê o da máquina.
Um perfil criado com -AllUserConnection aparece para cada conta da máquina e requer uma sessão elevada para ser criado ou removido. Um perfil criado sem essa opção pertence à conta que executou o comando, e outro utilizador que inicie sessão não vê absolutamente nada. Ambos podem ter o mesmo nome, e nenhum avisa que o outro existe. É por isso que o sintoma se parece com uma falha silenciosa em vez de uma mensagem de erro.
O que o âmbito realmente decide
O âmbito responde a duas perguntas e recusa responder a uma terceira:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
São as duas últimas linhas que as pessoas interpretam mal. Um perfil para todos os utilizadores é armazenamento com âmbito de máquina, não uma identidade de máquina, e não torna, por si só, a ligação disponível antes de alguém iniciar sessão. Um túnel de dispositivo Always On do Windows é uma configuração separada com os seus próprios requisitos de certificado e perfil. O âmbito diz respeito a quem pode ver um perfil, não ao que é a máquina.
A visibilidade não é autenticação
Um perfil para todos os utilizadores continua a precisar de um esquema suportado de identidade e credenciais. Tornar o perfil visível para cada conta não faz de cada conta o mesmo utilizador autenticado, nem agrupa as credenciais.
Se o design exigir o túnel ativo antes do início de sessão, a resposta é um túnel de dispositivo e não um âmbito de perfil mais amplo. Se o design exigir que cada pessoa apresente o seu próprio certificado, um perfil por utilizador encaixa melhor nesse modelo, porque um perfil com âmbito de máquina não pode apresentar uma credencial que pertence a outra pessoa.
Implementação e propriedade da política
Em máquinas geridas, um EMM ou um perfil de configuração pode recriar o estado guardado após a sua alteração.
Não é um erro do seu script; são dois proprietários a escrever no mesmo armazenamento. Coordene o âmbito com quem é proprietário da política e prefira alterar a política a voltar a executar o comando segundo uma programação. Uma correção local que compete com a política produz uma máquina onde o perfil parece correto até à sincronização seguinte.
O que registar quando falha
Registe três coisas em conjunto: o nome do perfil, o âmbito que visou e o erro de ligação real.
Uma rota ou um certificado aplicado a um perfil do outro armazenamento não corrige aquele que o utilizador inicia, e o texto do erro continuará a apontar para a ligação em vez da sua edição. Após uma alteração aprovada, volte a ligar-se pelo ponto de entrada previsto e inspecione o encaminhamento aplicado, bem como as definições guardadas. O armazenamento de perfis responde ao que está disponível, enquanto a ligação ativa responde ao que o dispositivo está a fazer agora.
A documentação da Microsoft para Add-VpnConnection lista o parâmetro de âmbito ao lado dos parâmetros que modifica, o que é um lembrete útil de que o âmbito é uma decisão tomada na criação e não uma definição que muda mais tarde.