Опсег VPN профила у Windows-у: тренутни корисник или сви корисници?
Опсег одређује где се чува изворни VPN профил у Windows-у и ко може да га види. Он не претвара везу у тунел уређаја и не дели акредитиве.
Покренете команду над VPN профилом, она не враћа грешку, а веза коју корисник покрене понаша се тачно као пре. Ништа није покварено. Windows држи изворне VPN профиле у два складишта, а ви сте уредили оно које није у употреби. Исти приказани назив може постојати у оба, и зато се скрипта чини успешном док корисничка веза занемарује сваку вашу измену.
Решење није боља скрипта; решење је да именујете опсег пре него што именујете профил.
Симптом и два складишта
Windows држи изворне VPN профиле у телефонском именику по кориснику и у именику на нивоу рачунара за све кориснике. Get-VpnConnection чита складиште тренутног корисника, а Get-VpnConnection -AllUserConnection чита оно на нивоу рачунара.
Профил направљен са -AllUserConnection појављује се за сваки налог на рачунару и за прављење или уклањање тражи сесију са подигнутим овлашћењима. Профил направљен без тога припада налогу који је покренуо команду, а други корисник који се пријави не види ништа. Оба могу да носе исти назив и ниједан вас не упозорава да други постоји. Зато симптом изгледа као тиха грешка, а не као порука о грешци.
Шта опсег заиста одређује
Опсег одговара на два питања и одбија да одговори на треће:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Људи погрешно схватају управо последња два реда. Профил за све кориснике је складиште на нивоу рачунара, а не идентитет рачунара, и сам по себи не чини везу доступном пре него што се неко пријави. Windows Always On тунел уређаја је засебна конфигурација са сопственим захтевима за сертификат и профил. Опсег се тиче тога ко може да види профил, а не тога шта је рачунар.
Видљивост није аутентикација
Профил за све кориснике и даље захтева подржан распоред идентитета и акредитива. Чињење профила видљивим за сваки налог не чини сваки налог истим потврђеним корисником и не обједињује акредитиве.
Ако дизајн захтева да тунел буде подигнут пре пријаве, одговор је тунел уређаја, а не шири опсег профила. Ако дизајн захтева да свака особа представи сопствени сертификат, профил по кориснику боље одговара том моделу, јер профил на нивоу рачунара не може да представи акредитив који припада неком другом.
Распоређивање и власништво над политиком
На управљаним рачунарима EMM или конфигурациони профил може поново да створи сачувано стање после ваше измене.
То није грешка у вашој скрипти; то су два власника која пишу у исто складиште. Усагласите опсег са оним ко поседује политику и радије промените политику него што ћете поново покретати команду по распореду. Локална исправка која се такмичи са политиком ствара рачунар на коме профил изгледа исправно до следеће синхронизације.
Шта забележити када се поквари
Забележите три ствари заједно: назив профила, опсег који сте циљали и стварну грешку везе.
Рута или сертификат примењен на профил у другом складишту неће поправити онај који корисник покреће, а текст грешке ће наставити да упућује на везу, а не на ваше уређивање. Након одобрене измене поново се повежите преко предвиђене улазне тачке и прегледајте и примењено усмеравање и сачувана подешавања. Складиште профила одговара шта је доступно, док активна веза одговара шта уређај сада ради.
Документација Microsoft-а за Add-VpnConnection наводи прекидач опсега поред параметара које мења, што је корисно подсећање да је опсег одлука донета при стварању, а не подешавање које преокрећете касније.