Rozsah profilu VPN v Windows: aktuálny používateľ alebo všetci používatelia?
Rozsah určuje, kde sa ukladá natívny profil VPN v Windows a kto ho môže vidieť. Nerobí z pripojenia tunel zariadenia ani nezdieľa poverenia.
Spustíte príkaz voči profilu VPN, nevráti chybu a pripojenie, ktoré používateľ spustí, sa správa presne ako predtým. Nič nie je pokazené. Windows drží natívne profily VPN v dvoch úložiskách a vy ste upravili to, ktoré sa nepoužíva. Rovnaký zobrazovaný názov môže existovať v oboch, a preto sa skript javí ako úspešný, zatiaľ čo používateľské pripojenie ignoruje každú vašu zmenu.
Riešením nie je lepší skript; riešením je pomenovať rozsah skôr, než pomenujete profil.
Príznak a dve úložiská
Windows drží natívne profily VPN v telefónnom zozname pre každého používateľa a v zozname na úrovni počítača pre všetkých používateľov. Get-VpnConnection číta úložisko aktuálneho používateľa a Get-VpnConnection -AllUserConnection číta to počítačové.
Profil vytvorený s -AllUserConnection sa zobrazí pre každý účet na počítači a na vytvorenie alebo odstránenie vyžaduje reláciu so zvýšenými právami. Profil vytvorený bez neho patrí účtu, ktorý príkaz spustil, a iný používateľ po prihlásení nevidí vôbec nič. Oba môžu niesť rovnaký názov a ani jeden vás neupozorní, že existuje ten druhý. Preto príznak vyzerá ako tichá porucha, a nie ako chybová správa.
Čo rozsah naozaj určuje
Rozsah odpovedá na dve otázky a odmieta odpovedať na tretiu:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Práve posledné dva riadky ľudia chápu nesprávne. Profil pre všetkých používateľov je úložisko v rozsahu počítača, nie identita počítača, a sám o sebe nesprístupní pripojenie skôr, než sa niekto prihlási. Tunel zariadenia Always On v Windows je samostatná konfigurácia s vlastnými požiadavkami na certifikát a profil. Rozsah je o tom, kto profil vidí, nie o tom, čím počítač je.
Viditeľnosť nie je overovanie
Profil pre všetkých používateľov stále potrebuje podporované usporiadanie identity a poverení. Zviditeľnenie profilu pre každý účet nerobí z každého účtu toho istého overeného používateľa a nezlúči poverenia.
Ak návrh vyžaduje tunel hore ešte pred prihlásením, odpoveďou je tunel zariadenia, nie širší rozsah profilu. Ak návrh vyžaduje, aby každý človek predložil vlastný certifikát, profil pre jednotlivého používateľa tomu modelu zodpovedá lepšie, pretože profil v rozsahu počítača nemôže predložiť poverenie, ktoré patrí niekomu inému.
Nasadenie a vlastníctvo pravidiel
Na spravovaných počítačoch môže EMM alebo konfiguračný profil po vašej zmene obnoviť uložený stav.
To nie je chyba vo vašom skripte; sú to dvaja vlastníci, ktorí zapisujú do toho istého úložiska. Zlaďte rozsah s tým, kto vlastní pravidlo, a uprednostnite zmenu pravidla pred opakovaným spúšťaním príkazu podľa plánu. Miestna oprava, ktorá súťaží s pravidlom, vytvára počítač, na ktorom profil vyzerá správne až do ďalšej synchronizácie.
Čo zaznamenať, keď sa to pokazí
Zaznamenajte tri veci spolu: názov profilu, rozsah, na ktorý ste cielili, a skutočnú chybu pripojenia.
Trasa alebo certifikát použitý na profil v druhom úložisku neopraví ten, ktorý používateľ spúšťa, a text chyby bude naďalej ukazovať na pripojenie, nie na vašu úpravu. Po schválenej zmene sa znova pripojte cez zamýšľaný vstupný bod a skontrolujte použité smerovanie aj uložené nastavenia. Úložisko profilov odpovedá, čo je dostupné, zatiaľ čo aktívne pripojenie odpovedá, čo zariadenie robí práve teraz.
Dokumentácia Microsoftu k Add-VpnConnection uvádza prepínač rozsahu vedľa parametrov, ktoré mení, čo je užitočná pripomienka, že rozsah je rozhodnutie pri vytvorení, nie nastavenie, ktoré prepnete neskôr.