Туннель устройства в Windows Pro? Проверьте матрицу выпусков
Развёрнутый профиль не доказывает право на использование. Сравните матрицу выпусков, узел CSP и предварительные условия до входа, прежде чем отлаживать туннель.
Профиль попадает на ноутбук, страница параметров VPN его показывает, а туннель устройства всё равно никогда не подключается на экране входа. В Windows Pro это часто не ошибка конфигурации. Встроенный туннель устройства лицензируется по выпуску, а пользовательский туннель, работающий после входа, доказывает другую возможность. Прочитайте требование, прежде чем отлаживать сертификат.
Симптом появляется до того, как кто-либо войдёт в систему
Пользовательский туннель подключается в контексте пользователя после входа, поэтому он нормально работает на Pro. Туннель устройства должен установить подключение машины до входа любого пользователя, используя сертификат машины и IKEv2. Это разные этапы жизненного цикла, а не два названия одного профиля.
На неподходящем выпуске профиль всё ещё можно развернуть и показать в списке, но подключение до входа не появляется. После входа пользовательский туннель может работать безупречно, из-за чего развёртывание выглядит здоровым при каждой проверке, которую выполняет владелец учётной записи. Сбой не виден изнутри уже открытого сеанса.
Предоставление профиля всем пользователям меняет то, кому разрешено им пользоваться. Оно не меняет контекст проверки подлинности с пользователя на машину, поэтому не может превратить пользовательский туннель в туннель устройства. Разница в контексте проверки подлинности, а не в видимости профиля.
Читайте матрицу, а не только узел CSP
Матрица возможностей Windows 11 от Microsoft перечисляет встроенный туннель устройства Always On VPN для Enterprise и Education. Поставщик службы конфигурации VPNv2 отдельно документирует узел DeviceTunnel, область применения которого включает Pro, и эту строку часто цитируют как доказательство того, что функция работает. Поверхность конфигурации и лицензирование функции отвечают на разные вопросы: одно говорит, что параметр можно выразить, другое — что выпуск имеет право на эту возможность.
Подтвердите фактический выпуск и сборку, а не полагайтесь на запись о покупке. Управляемая активация, идущее обновление или пересобранный образ могут оставить машину на другом выпуске, чем указано в списке активов:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberЕсли вывод говорит Pro, встроенный туннель устройства находится вне документированного набора функций для этой машины. Этот вывод не требует изменения профиля и не будет исправлен им. Запишите этот факт, прежде чем менять что-либо ещё.
Четыре предварительных условия за флагом функции
Выпуск — это ворота, а остальные требования объясняют, почему машина на подходящем выпуске всё равно не работает. Проверяйте их по порядку, потому что каждое может дать тот же тихий результат. Пропуск строки тратит усилия, вложенные в строки ниже. Выпуск идёт первым не просто так.
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
Проверка сертификата — та, которую люди пропускают. Закрытый ключ должен присутствовать в хранилище машины и быть доступным системному контексту до входа, а это другое хранилище, не то, которое пользователь видит в своём диалоге сертификатов:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterСертификат, который выглядит правильным в хранилище пользователя, может полностью отсутствовать в хранилище машины. Тогда туннель устройства не проходит проверку подлинности до появления экрана входа, и никакой повторный импорт профиля этого не меняет. Проверяйте хранилище, которое использует служба, а не то, которое видит пользователь.
Плановое задание, работающее как SYSTEM, — это не та функция
Ходит обходное решение, которое запускает профиль VPN из планового задания, работающего как SYSTEM, и туннель появляется вскоре после загрузки. Это не встроенный туннель устройства. Механизм заданий запускается в другой момент, подключение представляет собой профиль в пользовательском режиме, запущенный служебной учётной записью, а жизненный цикл не соответствует туннелю с проверкой подлинности машины, который должен существовать на экране входа.
Оно может пройти поверхностную проверку, потому что к моменту, когда кто-то входит и проверяет, туннель уже поднят. Этот успех измеряет задержку между загрузкой и заданием, а не подключение до входа, и оставляет машину без туннеля в течение окна, которое функция должна была покрывать.
Считайте обходное решение неподдерживаемым для производства. Если проект зависит от него, требование, вероятно, состоит в подключении до входа, что возвращает обсуждение к праву на выпуск.
Выберите требование до технологии
Запишите требование одним предложением: устройство должно достичь именованного ресурса до входа любого пользователя, или пользователю нужен доступ после входа. Если второе предложение верно, пользовательский туннель Always On на Pro — поддерживаемый проект, а туннель устройства — ненужная сложность.
Если первое предложение верно, выпуск — жёсткие ворота. Выберите подходящий выпуск или документированную архитектуру до входа, которую поддерживает организация, и спланируйте изменение лицензии до того, как строить профили и сертификаты вокруг возможности, которую машина не может выполнить.
Запишите выпуск, состояние присоединения, расположение сертификата и канал подготовки в заметках о развёртывании. Тогда следующий инженер сможет подтвердить право на использование за минуты вместо повторения того же устранения неполадок профиля на машине, которая никогда бы не подключилась.