Windows на Arm: действительно ли загрузится драйвер VPN?

Установщик запускается, окно открывается и появляется запрос на вход, поэтому миграция выглядит завершённой. Затем туннель даёт сбой в тот момент, когда клиенту нужен его виртуальный адаптер, и ошибка упоминает службу или драйвер, а не учётные данные. В Windows на Arm такая последовательность обычна, потому что правило совместимости меняется между кодом в пользовательском режиме и кодом в режиме ядра. Для одобрения ноутбука нужна вторая проверка, а не первая.

Запросите архитектуру всего пакета, затем проверьте её на машине.

Часть, которую эмуляция не покрывает

Windows на Arm может запускать приложения x86 и x64 через эмуляцию, пока они остаются в пользовательском режиме. Компоненты режима ядра такой обработки не получают: драйвер должен быть собран для Arm64, чтобы вообще загрузиться. Microsoft документирует эту границу, и именно там обычно находятся клиенты VPN, потому что многие из них устанавливают виртуальный сетевой адаптер или драйвер фильтра.

Поэтому пакет может показывать работающий интерфейс и всё равно быть непригодным. Сбой проявляется как отсутствующий адаптер, служба, которая не запускается, или туннель, который так и не устанавливается. Именно здесь пилот должен остановиться. Экран входа не является доказательством работающего пути данных.

Три условия, определяющие миграцию

Первое — это пакет. Сборка x64 и сборка Arm64 обе называются 64-битными и не взаимозаменяемы, поэтому загрузка, описанная только как Windows 64-бит, ничего не доказывает об устройстве Arm. Поддерживаемый поставщиком установщик для этой архитектуры — единственная приемлемая отправная точка.

Второе — остальные необходимые компоненты. Проверки состояния устройства, браузерные помощники аутентификации и промежуточное ПО для смарт-карт могут иметь собственные требования к архитектуре, а успех только туннеля не показывает, что политика доступа организации выполнена.

Третье — шлюз и поддерживаемый им набор клиентов. Если у одобренного клиента нет сборки для Arm, другой клиент допустим только там, где владелец шлюза поддерживает протокол этого клиента, его метод аутентификации и поведение его политики. Встроенный профиль Windows VPN не может заменить проприетарный клиент только потому, что оба описываются как IPsec.

Прочитайте архитектуру на устройстве

Подтвердите, что это за машина, а затем посмотрите, какие драйверы пакет действительно установил. Перечисление занимает минуту и предотвращает спор о том, что означает "64-bit".

Get-CimInstance Win32_OperatingSystem | Select-Object OSArchitecture
$env:PROCESSOR_ARCHITECTURE
pnputil /enum-drivers | Select-String -Pattern 'vpn|tap|wintun' -Context 0,3
Get-NetAdapter | Format-Table Name,InterfaceDescription,DriverProvider

Если список адаптеров ничего не показывает для клиента или запись драйвера сообщает о несоответствии архитектуры, миграция останавливается там. Помещение драйвера Arm64 в старый контейнер не поддерживается поставщиком, а настройки режима совместимости не преобразуют драйвер ядра x64.

Сравните установленную версию с поддерживаемым поставщиком списком для Arm и отметьте разницу, если установщик пришёл из внутреннего репозитория, а не от поставщика.

Одобряйте рабочую нагрузку, а не экран входа

Запустите пилот, держа предыдущее работающее устройство доступным как запасной вариант. Проверьте подготовку профиля, предполагаемую личность и любые проверки устройства, затем испытайте частное приложение, а не только состояние туннеля.

Включите частный DNS, необходимые маршруты и семейства адресов, переподключение после смены сети и заданное отключённое состояние. Записывайте версии клиента и компонентов вместе с результатом, потому что следующее обновление снова задаст те же вопросы.

Наконец, подтвердите, что для этой платформы существуют поддерживаемые пути обновления и удаления. Пакет, который работает только после недокументированных замен, создаёт ту же проблему миграции в следующем выпуске, с меньшим временем на её решение.