În ce carte de telefon caută o sarcină SYSTEM profilurile VPN?

Profilul dumneavoastră VPN este chiar acolo în Setări, iar sarcina programată raportează în continuare că nu poate găsi conexiunea. Nimic nu este deteriorat: depozitul VPN nativ din Windows este per utilizator dacă profilul nu a fost creat ca profil pentru toți utilizatorii, iar o sarcină rulează ca contul pe care îl numește principalul ei. De obicei sarcina citește o carte de telefon care nu a conținut niciodată profilul dumneavoastră. Două comenzi și o setare a sarcinii sunt suficiente pentru a demonstra acest lucru, și merită rulate înainte ca cineva să reconstruiască conexiunea.

Două depozite păstrează același nume de profil

Un profil VPN nativ din Windows trăiește în depozitul contului care l-a creat. Depozitul global este o altă carte de telefon, care se umple doar când profilul este creat cu comutatorul pentru toți utilizatorii într-o sesiune ridicată. Ambele pot păstra un profil cu același nume, și niciunul nu este o vedere a celuilalt.

Citiți ambele depozite din aceeași sesiune și comparați numele pe care le returnează. Comutatorul selectează depozitul global, iar citirea lui necesită de obicei o sesiune ridicată:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType

Dacă prima comandă listează profilul, iar a doua nu, nicio schimbare a acreditărilor nu va ajuta o sarcină care rulează sub alt cont, pentru că problema este apartenența, nu autentificarea. Dacă ambele îl listează, depozitul nu este cauza și se aplică secțiunea următoare. Acea singură comparație închide jumătate din aceste tichete. Notați care depozit a răspuns și sub ce cont ați executat verificarea, pentru că răspunsul nu înseamnă nimic fără ambele fapte.

Citiți principalul sarcinii înaintea acreditărilor ei

Deschideți sarcina și citiți principalul, pentru că vă spune care depozit poate vedea sarcina. O sarcină setată să ruleze ca SYSTEM nu este contul dumneavoastră cu drepturi suplimentare: are propriul profil și niciun acces la cartea de telefon per utilizator pe care ați creat-o cât timp erați conectat. Un cont de serviciu se comportă exact la fel.

Opțiunea de a rula indiferent dacă sunteți conectat schimbă și ea acest lucru, pentru că atunci sarcina nu are o sesiune interactivă de la care să împrumute acreditări. Lăsați acțiunea să scrie whoami într-un fișier și citiți răspunsul în loc să îl presupuneți.

Diagnosticele din propriul terminal nu spun nimic despre această problemă, pentru că arată ce vede contul dumneavoastră. Rulați comparația sub identitatea sarcinii prin orice procedură aprobată pe care o aveți pentru asta. Ieșirea lipită dintr-o consolă de administrator este un alt set de date, nu unul mai privilegiat. Dacă o astfel de procedură nu există, sarcina trebuie să înregistreze ea însăși răspunsul, ceea ce pregătește ultima secțiune.

Găsirea profilului nu este conectare

Un profil pentru toți utilizatorii face configurația vizibilă mai larg. Nu transportă parola salvată din contul care l-a creat și nu oferă altui cont cheia privată stocată în profilul dumneavoastră de utilizator. Vizibilitatea și acreditările utilizabile sunt două teste separate, iar trecerea primului nu spune nimic despre al doilea.

Dacă sarcina găsește acum profilul și eșuează la autentificare, acesta este un progres și etapa aparține înregistrării. Mutați certificatul în depozitul mașinii sau furnizați secretul prin mecanismul propriu al implementării, în loc să recreați din nou numele conexiunii. Recrearea lui produce aceeași eroare cu un marcaj de timp mai nou. Microsoft documentează cele două domenii între care alege comutatorul cmdlet.

Provocările neinteractive sunt capcana din spatele acelei etape. O solicitare PIN sau un cod de unică folosință nu pot primi răspuns de la o sarcină fără desktop, așa că un profil care se conectează perfect manual poate fi inutilizabil sub automatizare.

Patru câmpuri de care are nevoie înregistrarea sarcinii

Țineți împreună într-un singur loc valorile care decid rezultatul, pentru că trei dintre ele rămân de obicei implicite. Înregistrarea are nevoie de patru linii:

• Calea acțiunii: scriptul sau executabilul pe care îl rulează sarcina, nu o comandă rapidă care se rezolvă diferit pentru alt cont.
• Numele profilului: șirul exact, pentru că două depozite pot păstra același nume care indică servere diferite.
• Principal: contul sub care rulează sarcina și dacă are o sesiune interactivă.
• Metoda de autentificare: ce poate acel principal să finalizeze de fapt, de exemplu un certificat din depozitul mașinii în locul unei chei din profilul dumneavoastră de utilizator.

Acele patru linii răspund la întrebarea pe care tichetul o pune de fapt, și anume ce configurație a folosit automatizarea. Ele supraviețuiesc și următoarei reconstrucții a sarcinii, când autorul original nu este aproape pentru a explica de ce numele conta. Fără ele, aceeași eroare revine după implementarea următoare și costă din nou aceleași ore.

Stabiliți etapa la care a ajuns sarcina

Instrumentați acțiunea în loc să ghiciți din rezultatul ultimei rulări. Un înveliș scurt înregistrează identitatea, depozitul pe care îl vede și rezultatul apelului într-un singur loc:

whoami
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
rasdial "Office"
schtasks /query /tn "VPN Connect" /v /fo LIST

Comanda de apel își tipărește propria eroare, care este de obicei mai clară decât o eroare generică a sarcinii. Interogarea returnează principalul și ultimul cod de rezultat unul lângă altul, așa că identitatea și rezultatul sunt vizibile într-o singură vedere. Aceste două fapte decid dacă pasul următor este o schimbare de depozit sau o schimbare de acreditări.

În final, separați o sarcină care se conectează după ce un utilizator se conectează de un tunel de dispozitiv sau de un flux de lucru acceptat înainte de conectare. Partajarea unui singur profil nu este un proiect pentru niciuna dintre ele, iar câmpul principal este cel care vă spune care dintre cele trei l-ați construit. Dacă conectivitatea trebuie să existe înainte de conectare, depozitul de profiluri per utilizator este stratul greșit de reparat.