Tunel zariadenia vo Windows Pro? Skontrolujte maticu edícií
Nasadený profil nie je dôkazom oprávnenosti. Pred ladením tunela porovnajte maticu edícií, uzol CSP a predpoklady pred prihlásením.
Profil sa dostane na notebook, stránka nastavení VPN ho zobrazí, a tunel zariadenia sa napriek tomu na prihlasovacej obrazovke nikdy nepripojí. Vo Windows Pro to často nie je chyba konfigurácie. Natívny tunel zariadenia sa licencuje podľa edície a používateľský tunel, ktorý funguje po prihlásení, dokazuje inú schopnosť. Prečítajte si požiadavku skôr, než začnete ladiť certifikát.
Príznak sa objaví skôr, než sa ktokoľvek prihlási
Používateľský tunel sa po prihlásení pripája v kontexte používateľa, a preto na Pro bežne funguje. Tunel zariadenia má nadviazať pripojenie počítača skôr, než sa prihlási ktorýkoľvek používateľ, pomocou certifikátu počítača a IKEv2. Ide o rôzne fázy životného cyklu, nie o dva názvy toho istého profilu.
Na neoprávnenej edícii možno profil stále nasadiť a uviesť v zozname, ale pripojenie pred prihlásením sa neobjaví. Po prihlásení môže používateľský tunel fungovať bezchybne, takže nasadenie vyzerá zdravo pri každej kontrole, ktorú vykoná vlastník účtu. Zlyhanie je z pohľadu už prihlásenej relácie neviditeľné.
Sprístupnenie profilu všetkým používateľom mení, kto ho smie používať. Nemení kontext overovania z používateľa na počítač, a preto nemôže premeniť používateľský tunel na tunel zariadenia. Rozdiel je v kontexte overovania, nie vo viditeľnosti profilu.
Čítajte maticu, nielen uzol CSP
Matica funkcií Windows 11 od Microsoftu uvádza natívny tunel zariadenia Always On VPN pre Enterprise a Education. Poskytovateľ konfiguračnej služby VPNv2 samostatne dokumentuje uzol DeviceTunnel, ktorého použiteľnosť zahŕňa Pro, a tento riadok sa často cituje ako dôkaz, že funkcia funguje. Konfiguračné rozhranie a licencovanie funkcie odpovedajú na rôzne otázky: jedno hovorí, že nastavenie možno vyjadriť, druhé že edícia má na danú schopnosť nárok.
Overte skutočnú edíciu a zostavenie namiesto spoliehania sa na záznam o kúpe. Spravovaná aktivácia, prebiehajúca aktualizácia alebo prestavaný obraz môžu ponechať počítač na inej edícii, než uvádza zoznam aktív:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberAk výstup uvádza Pro, natívny tunel zariadenia je mimo dokumentovanej sady funkcií pre tento počítač. Tento záver nevyžaduje zmenu profilu a zmenou profilu sa ani neopraví. Poznamenajte tento nález, skôr než zmeníte čokoľvek iné.
Štyri predpoklady za príznakom funkcie
Edícia je bránou a ostatné požiadavky vysvetľujú, prečo počítač na oprávnenej edícii napriek tomu zlyhá. Kontrolujte ich v poradí, pretože každá môže dať rovnaký tichý výsledok. Preskočenie riadku premrhá úsilie venované riadkom pod ním. Edícia je prvá z nejakého dôvodu.
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
Kontrolu certifikátu ľudia preskakujú. Súkromný kľúč musí byť prítomný v úložisku počítača a pred prihlásením použiteľný systémovým kontextom, čo je iné úložisko než to, ktoré používateľ vidí vo svojom dialógu certifikátov:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterCertifikát, ktorý v používateľskom úložisku vyzerá správne, môže v úložisku počítača úplne chýbať. Tunel zariadenia potom zlyhá pri overovaní skôr, než sa objaví prihlasovacia obrazovka, a žiadny opätovný import profilu to nezmení. Kontrolujte úložisko, ktoré používa služba, nie to, ktoré vidí používateľ.
Naplánovaná úloha spustená ako SYSTEM nie je tá funkcia
Koluje obchádzka, ktorá spúšťa profil VPN z naplánovanej úlohy bežiacej ako SYSTEM, takže tunel sa objaví krátko po štarte. Nie je to natívny tunel zariadenia. Modul úloh sa spúšťa v inom okamihu, pripojenie je profil v používateľskom režime spustený servisným účtom a životný cyklus nezodpovedá tunelu overenému počítačom, ktorý musí existovať na prihlasovacej obrazovke.
Môže prejsť povrchným testom, pretože tunel je aktívny v čase, keď sa niekto prihlási a skontroluje to. Tento úspech meria oneskorenie medzi štartom a úlohou, nie pripojenie pred prihlásením, a necháva počítač bez tunela počas okna, ktoré mala funkcia pokryť.
Berte obchádzku ako nepodporovanú pre produkciu. Ak na nej návrh závisí, požiadavkou je pravdepodobne pripojenie pred prihlásením, čo diskusiu vracia k oprávnenosti edície.
Vyberte požiadavku skôr než technológiu
Napíšte požiadavku jednou vetou: zariadenie musí dosiahnuť pomenovaný zdroj skôr, než sa prihlási ktorýkoľvek používateľ, alebo používateľ potrebuje prístup po prihlásení. Ak platí druhá veta, používateľský tunel Always On na Pro je podporovaný návrh a tunel zariadenia je zbytočná zložitosť.
Ak platí prvá veta, edícia je tvrdou bránou. Vyberte oprávnenú edíciu alebo dokumentovanú architektúru pred prihlásením, ktorú organizácia podporuje, a naplánujte zmenu licencie skôr, než postavíte profily a certifikáty okolo schopnosti, ktorú počítač nedokáže spustiť.
Do poznámok k nasadeniu zapíšte edíciu, stav pripojenia k doméne, umiestnenie certifikátu a kanál zriaďovania. Ďalší inžinier potom môže oprávnenosť potvrdiť za pár minút namiesto opakovania rovnakého ladenia profilu na počítači, ktorý by sa nikdy nebol pripojil.