V ktorej telefónnej knihe hľadá úloha SYSTEM profily VPN?

Úloha beží pod určitým účtom a natívne profily VPN sú per-user, ak neboli vytvorené ako all-user. Porovnajte obe úložiská, kým čokoľvek prestavíte.

Váš profil VPN je priamo v Nastaveniach a naplánovaná úloha stále hlási, že pripojenie nevie nájsť. Nič nie je poškodené: natívne úložisko VPN vo Windows je per-user, ak profil nebol vytvorený ako all-user, a úloha beží pod účtom, ktorý určí jej principal. Úloha zvyčajne číta telefónnu knihu, v ktorej váš profil nikdy nebol. Na dôkaz stačia dva príkazy a jedno nastavenie úlohy a stojí za to ich spustiť, kým niekto pripojenie prestaví.

Dve úložiská držia rovnaký názov profilu

Natívny profil VPN vo Windows žije v úložisku účtu, ktorý ho vytvoril. Globálne úložisko je iná telefónna kniha, ktorá sa plní len vtedy, keď je profil vytvorený s prepínačom pre všetkých používateľov v elevovanej relácii. Obe môžu držať profil s rovnakým názvom a ani jedno nie je pohľadom na druhé.

Prečítajte obe úložiská z tej istej relácie a porovnajte názvy, ktoré vracajú. Prepínač vyberá globálne úložisko a jeho čítanie zvyčajne vyžaduje elevovanú reláciu:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType

Ak prvý príkaz profil vypíše a druhý nie, žiadna zmena prihlasovacích údajov nepomôže úlohe bežiacej pod iným účtom, pretože problémom je členstvo, nie overovanie. Ak ho vypíšu oba, úložisko nie je príčinou a platí nasledujúca časť. Toto jediné porovnanie uzavrie polovicu týchto tiketov. Zaznamenajte, ktoré úložisko odpovedalo a pod ktorým účtom ste kontrolu vykonali, pretože odpoveď nemá bez oboch faktov zmysel.

Prečítajte principal úlohy skôr než jej prihlasovacie údaje

Otvorte úlohu a prečítajte principal, pretože hovorí, ktoré úložisko úloha vidí. Úloha nastavená na beh ako SYSTEM nie je váš účet s dodatočnými právami: má vlastný profil a žiadny prístup k per-user telefónnej knihe, ktorú ste vytvorili prihlásení. Servisný účet sa správa presne rovnako.

Voľba spúšťať bez ohľadu na prihlásenie to tiež mení, pretože úloha potom nemá interaktívnu reláciu, z ktorej by si mohla požičať prihlasovacie údaje. Nechajte akciu zapísať whoami do súboru a odpoveď si prečítajte, namiesto toho, aby ste ju predpokladali.

Diagnostika z vášho terminálu o tomto probléme nič nehovorí, pretože ukazuje, čo vidí váš účet. Spustite porovnanie pod identitou úlohy cez akýkoľvek schválený postup, ktorý na to máte. Výstup vložený z konzoly správcu je iný súbor dát, nie privilegovanejší. Ak taký postup neexistuje, úloha musí odpoveď zaznamenať sama, čo nastavuje posledná časť.

Nájsť profil nie je to isté ako prihlásiť sa

Profil pre všetkých používateľov robí konfiguráciu viditeľnejšou v širšom rozsahu. Nenesie uložené heslo z účtu, ktorý ho vytvoril, a neodovzdáva inému účtu súkromný kľúč uložený vo vašom používateľskom profile. Viditeľnosť a použiteľné prihlasovacie údaje sú dva oddelené testy a prejdenie prvého nič nehovorí o druhom.

Ak úloha teraz profil nájde a zlyhá pri overovaní, je to pokrok a táto fáza patrí do záznamu. Presuňte certifikát do úložiska počítača alebo dodajte tajomstvo vlastným mechanizmom nasadenia, namiesto toho, aby ste znova vytvárali názov pripojenia. Opätovné vytvorenie dáva rovnakú chybu s novšou časovou pečiatkou. Microsoft dokumentuje dva rozsahy , medzi ktorými vyberá prepínač cmdletu.

Neinteraktívne výzvy sú pascou za touto fázou. Výzvu PIN alebo jednorazový kód nemôže úloha bez pracovnej plochy zodpovedať, takže profil, ktorý sa ručne pripája bezchybne, môže byť pod automatizáciou nepoužiteľný.

Štyri polia, ktoré záznam úlohy potrebuje

Držte hodnoty, ktoré rozhodujú o výsledku, spolu na jednom mieste, pretože tri z nich zvyčajne zostávajú implicitné. Záznam potrebuje štyri riadky:

  • Cesta akcie: skript alebo spustiteľný súbor, ktorý úloha spúšťa, nie odkaz, ktorý sa pre iný účet vyhodnotí inak.
  • Názov profilu: presný reťazec, pretože dve úložiská môžu držať rovnaký názov ukazujúci na rôzne servery.
  • Principal: účet, pod ktorým úloha beží, a či má interaktívnu reláciu.
  • Metóda overovania: čo tento principal skutočne dokáže dokončiť, napríklad certifikát z úložiska počítača namiesto kľúča vo vašom používateľskom profile.

Tieto štyri riadky odpovedajú na otázku, ktorú tiket skutočne kladie, teda akú konfiguráciu automatizácia použila. Prežijú aj nasledujúcu prestavbu úlohy, keď pôvodný autor nie je nablízku, aby vysvetlil, prečo na názve záležalo. Bez nich sa tá istá chyba vráti po ďalšom nasadení a znova stojí rovnaké hodiny.

Určite fázu, do ktorej sa úloha dostala

Instrumentujte akciu, namiesto toho, aby ste hádali z výsledku posledného spustenia. Krátky obal zaznamená identitu, úložisko, ktoré vidí, a výsledok vytáčania na jednom mieste:

whoami
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
rasdial "Office"
schtasks /query /tn "VPN Connect" /v /fo LIST

Príkaz na vytáčanie vypisuje vlastnú chybu, ktorá je zvyčajne jasnejšia než všeobecné zlyhanie úlohy. Dotaz vracia principal a posledný kód výsledku vedľa seba, takže identita a výsledok sú viditeľné v jednom pohľade. Tieto dva fakty rozhodujú, či je ďalším krokom zmena úložiska, alebo zmena prihlasovacích údajov.

Nakoniec oddeľte úlohu, ktorá sa pripája po prihlásení používateľa, od tunela zariadenia alebo podporovaného pracovného postupu pred prihlásením. Zdieľanie jedného profilu nie je návrhom ani pre jedno z toho a práve pole principal vám hovorí, ktorý z troch prípadov ste postavili. Ak pripojenie musí existovať pred prihlásením, úložisko profilov per-user je nesprávna vrstva na opravu.

Súvisiace články