Domeniul profilului VPN Windows: utilizatorul curent sau toți utilizatorii?
Domeniul decide unde este stocat un profil VPN nativ Windows și cine îl poate vedea. Nu transformă conexiunea într-un tunel de dispozitiv și nu partajează acreditările.
Rulați o comandă asupra unui profil VPN, aceasta nu returnează nicio eroare, iar conexiunea pe care o pornește utilizatorul se comportă exact ca înainte. Nimic nu este stricat. Windows păstrează profilurile VPN native în două magazine, iar dumneavoastră l-ați editat pe cel care nu este folosit. Același nume afișat poate exista în ambele, și de aceea un script pare să reușească în timp ce conexiunea utilizatorului ignoră fiecare modificare pe care ați făcut-o.
Soluția nu este un script mai bun; este să numiți domeniul înainte de a numi profilul.
Simptomul și cele două magazine
Windows păstrează profilurile VPN native într-o carte de telefon pe utilizator și într-o carte la nivel de mașină pentru toți utilizatorii. Get-VpnConnection citește magazinul utilizatorului curent, iar Get-VpnConnection -AllUserConnection îl citește pe cel al mașinii.
Un profil creat cu -AllUserConnection apare pentru fiecare cont de pe mașină și necesită o sesiune ridicată pentru a fi creat sau eliminat. Un profil creat fără această opțiune aparține contului care a rulat comanda, iar un alt utilizator care se conectează nu vede absolut nimic. Ambele pot purta același nume, iar niciunul nu vă avertizează că celălalt există. De aceea simptomul arată ca o eșuare silențioasă, nu ca un mesaj de eroare.
Ce decide de fapt domeniul
Domeniul răspunde la două întrebări și refuză să răspundă la a treia:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Ultimele două rânduri sunt cele pe care oamenii le înțeleg greșit. Un profil pentru toți utilizatorii este stocare la nivel de mașină, nu o identitate a mașinii, și nu face de la sine conexiunea disponibilă înainte ca cineva să se conecteze. Un tunel de dispozitiv Always On Windows este o configurație separată, cu propriile cerințe de certificat și profil. Domeniul se referă la cine poate vedea un profil, nu la ce este mașina.
Vizibilitatea nu este autentificare
Un profil pentru toți utilizatorii are în continuare nevoie de o schemă acceptată de identitate și acreditări. A face profilul vizibil pentru fiecare cont nu face din fiecare cont același utilizator autentificat și nu unifică acreditările.
Dacă designul cere ca tunelul să fie ridicat înainte de autentificare, răspunsul este un tunel de dispozitiv, nu un domeniu de profil mai larg. Dacă designul cere ca fiecare persoană să își prezinte propriul certificat, un profil pe utilizator se potrivește mai bine acelui model, pentru că un profil la nivel de mașină nu poate prezenta acreditări care aparțin altcuiva.
Implementare și proprietatea politicii
Pe mașinile gestionate, un EMM sau un profil de configurare poate recrea starea salvată după modificarea dumneavoastră.
Nu este un defect în scriptul dumneavoastră; sunt doi proprietari care scriu în același magazin. Coordonați domeniul cu proprietarul politicii și preferați să schimbați politica în loc să rulați din nou comanda conform unui program. O corectare locală care concurează cu politica produce o mașină în care profilul pare corect până la următoarea sincronizare.
Ce să înregistrați când se strică
Înregistrați trei lucruri împreună: numele profilului, domeniul vizat și eroarea reală de conectare.
O rută sau un certificat aplicat unui profil din celălalt magazin nu îl va repara pe cel pe care îl pornește utilizatorul, iar textul erorii va continua să indice conexiunea, nu modificarea dumneavoastră. După o modificare aprobată, reconectați-vă prin punctul de intrare prevăzut și inspectați atât rutarea aplicată, cât și setările salvate. Magazinul de profiluri răspunde la ce este disponibil, în timp ce conexiunea activă răspunde la ce face dispozitivul acum.
Documentația Microsoft pentru Add-VpnConnection enumeră comutatorul de domeniu lângă parametrii pe care îi modifică, ceea ce este un memento util că domeniul este o decizie luată la creare, nu o setare pe care o schimbați mai târziu.