Tunel naprave v Windows Pro? Preverite matriko izdaj

Profil prispe na prenosnik, stran nastavitev VPN ga prikaže, tunel naprave pa se na prijavnem zaslonu kljub temu nikoli ne poveže. V Windows Pro to pogosto ni konfiguracijska napaka. Izvorni tunel naprave se licencira glede na izdajo, uporabniški tunel, ki deluje po prijavi, pa dokazuje drugo zmožnost. Preberite zahtevo, preden začnete razhroščevati potrdilo.

Simptom se pojavi, preden se kdo prijavi

Uporabniški tunel se po prijavi poveže v uporabniškem kontekstu, zato v Pro običajno deluje. Tunel naprave naj bi vzpostavil povezljivost stroja, preden se prijavi kateri koli uporabnik, s potrdilom stroja in IKEv2. To so različne faze življenjskega cikla, ne dve imeni istega profila.

V neustrezni izdaji je profil mogoče še vedno namestiti in prikazati na seznamu, vendar se povezava pred prijavo ne pojavi. Po prijavi lahko uporabniški tunel deluje brezhibno, zato je namestitev videti zdrava pri vsakem preverjanju, ki ga opravi lastnik računa. Napaka je iz notranjosti že prijavljene seje nevidna.

Če je profil na voljo vsem uporabnikom, se spremeni, kdo ga sme uporabljati. Ne spremeni konteksta preverjanja pristnosti z uporabnika na stroj, zato uporabniškega tunela ne more spremeniti v tunel naprave. Razlika je v kontekstu preverjanja pristnosti, ne v vidnosti profila.

Preberite matriko, ne le vozlišča CSP

Microsoftova matrika funkcij Windows 11 navaja izvorni tunel naprave Always On VPN za Enterprise in Education. Ponudnik konfiguracijske storitve VPNv2 ločeno dokumentira vozlišče DeviceTunnel, katerega uporabnost vključuje Pro, in ta vrstica se pogosto navaja kot dokaz, da funkcija deluje. Konfiguracijska površina in licenciranje funkcije odgovarjata na različna vprašanja: eno pravi, da je nastavitev mogoče izraziti, drugo, da je izdaja upravičena do te zmožnosti.

Potrdite dejansko izdajo in gradnjo, namesto da zaupate nakupnemu zapisu. Upravljana aktivacija, nadgradnja v teku ali obnovljena slika lahko pustijo stroj na drugi izdaji, kot je navedena na seznamu sredstev:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Če izpis pravi Pro, je izvorni tunel naprave zunaj dokumentiranega nabora funkcij za ta stroj. Ta sklep ne zahteva spremembe profila in je z njo ne bo mogoče odpraviti. Zabeležite to ugotovitev, preden spremenite karkoli drugega.

Štirje pogoji za zastavico funkcije

Izdaja so vrata, preostale zahteve pa pojasnjujejo, zakaj stroj na ustrezni izdaji še vedno ne uspe. Preverite jih po vrsti, ker lahko vsaka da enak tihi rezultat. Če preskočite vrstico, zapravite trud, vložen v vrstice pod njo. Izdaja je prva z razlogom.

Preverjanje potrdila je tisto, ki ga ljudje preskočijo. Zasebni ključ mora biti v shrambi stroja in pred prijavo uporaben v sistemskem kontekstu, kar je druga shramba od tiste, ki jo uporabnik vidi v svojem pogovornem oknu s potrdili:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Potrdilo, ki je v uporabnikovi shrambi videti pravilno, lahko v shrambi stroja popolnoma manjka. Tunel naprave nato ne opravi preverjanja pristnosti, preden se pojavi prijavni zaslon, in noben ponoven uvoz profila tega ne spremeni. Preverite shrambo, ki jo uporablja storitev, ne tiste, ki jo vidi uporabnik.

Načrtovana opravila kot SYSTEM niso ta funkcija

Kroži obhod, ki zažene profil VPN iz načrtovanega opravila, ki teče kot SYSTEM, zato se tunel pojavi kmalu po zagonu. To ni izvorni tunel naprave. Pogon opravil se začne ob drugem trenutku, povezava je profil v uporabniškem načinu, ki ga zažene servisni račun, in življenjski cikel se ne ujema s tunelom, overjenim s strojem, ki mora obstajati na prijavnem zaslonu.

Lahko prestane površinski test, ker je tunel že vzpostavljen, ko se nekdo prijavi in preveri. Ta uspeh meri zamik med zagonom in opravilom, ne povezljivosti pred prijavo, in pusti stroj brez tunela v oknu, ki naj bi ga funkcija pokrila.

Obravnavajte obhod kot nepodprt za produkcijo. Če je zasnova odvisna od njega, je zahteva verjetno povezava pred prijavo, kar razpravo vrne k upravičenosti izdaje.

Izberite zahtevo pred tehnologijo

Zahtevo napišite v enem stavku: naprava mora doseči imenovani vir, preden se prijavi kateri koli uporabnik, ali uporabnik potrebuje dostop po prijavi. Če je drugi stavek resničen, je uporabniški tunel Always On v Pro podprta zasnova in tunel naprave nepotrebna zapletenost.

Če je prvi stavek resničen, je izdaja trda vrata. Izberite ustrezno izdajo ali dokumentirano arhitekturo pred prijavo, ki jo organizacija podpira, in načrtujte spremembo licence, preden zgradite profile in potrdila okoli zmožnosti, ki je stroj ne more izvesti.

V opombe o namestitvi zapišite izdajo, stanje pridružitve, mesto potrdila in kanal zagotavljanja. Naslednji inženir bo lahko upravičenost potrdil v nekaj minutah, namesto da bi ponavljal isto odpravljanje težav s profilom na stroju, ki se ne bi nikoli povezal.