อุโมงค์อุปกรณ์บนวินโดวส์โปร? ตรวจสอบเมทริกซ์รุ่น
โปรไฟล์ที่ติดตั้งแล้วไม่ใช่หลักฐานของคุณสมบัติ เปรียบเทียบเมทริกซ์รุ่น โหนด ซีเอสพี และข้อกำหนดก่อนเข้าสู่ระบบก่อนแก้ไขอุโมงค์
โปรไฟล์ไปถึงแล็ปท็อป หน้าการตั้งค่าอุโมงค์เสมือนส่วนตัวแสดงมัน และอุโมงค์อุปกรณ์ก็ยังไม่เชื่อมต่อที่หน้าจอเข้าสู่ระบบ บนวินโดวส์โปร นี่มักไม่ใช่ข้อผิดพลาดของการกำหนดค่า อุโมงค์อุปกรณ์แบบเนทีฟได้รับสิทธิ์ตามรุ่น และอุโมงค์ผู้ใช้ที่ทำงานหลังเข้าสู่ระบบพิสูจน์ความสามารถอีกอย่างหนึ่ง อ่านข้อกำหนดก่อนแก้ไขใบรับรอง
อาการปรากฏก่อนที่ใครจะเข้าสู่ระบบ
อุโมงค์ผู้ใช้เชื่อมต่อในบริบทของผู้ใช้หลังเข้าสู่ระบบ จึงทำงานปกติบนโปร อุโมงค์อุปกรณ์ควรสร้างการเชื่อมต่อของเครื่องก่อนที่ผู้ใช้คนใดจะเข้าสู่ระบบ โดยใช้ใบรับรองเครื่องและ IKEv2 สิ่งเหล่านี้เป็น ขั้นตอนที่แตกต่างกันของวงจรชีวิต ไม่ใช่สองชื่อของโปรไฟล์เดียวกัน
บนรุ่นที่ไม่ผ่านคุณสมบัติ โปรไฟล์ยังส่งมอบและแสดงในรายการได้ แต่การเชื่อมต่อก่อนเข้าสู่ระบบไม่ปรากฏ หลังเข้าสู่ระบบอุโมงค์ผู้ใช้อาจทำงานได้อย่างสมบูรณ์ ทำให้การติดตั้งดูแข็งแรงในการตรวจสอบทุกครั้งที่เจ้าของบัญชีทำ ความล้มเหลวมองไม่เห็นจากภายในเซสชันที่เข้าสู่ระบบแล้ว
การทำให้โปรไฟล์พร้อมใช้สำหรับผู้ใช้ทุกคนเปลี่ยนว่าใครใช้ได้บ้าง แต่ไม่เปลี่ยนบริบทการรับรองความถูกต้องจากผู้ใช้เป็นเครื่อง ดังนั้นจึงเปลี่ยนอุโมงค์ผู้ใช้เป็นอุโมงค์อุปกรณ์ไม่ได้ ความแตกต่างอยู่ที่บริบทการรับรองความถูกต้อง ไม่ใช่การมองเห็นโปรไฟล์
อ่านเมทริกซ์ ไม่ใช่แค่โหนด ซีเอสพี
เมทริกซ์คุณสมบัติของ วินโดวส์ 11 จากไมโครซอฟต์ระบุอุโมงค์อุปกรณ์ ออลเวย์ออนวีพีเอ็น แบบเนทีฟสำหรับเอนเทอร์ไพรซ์และการศึกษา ผู้ให้บริการกำหนดค่าVPNv2จัดทำเอกสารโหนด ดีไวซ์ทันเนล แยกต่างหากซึ่งขอบเขตการใช้งานรวมถึงโปร และบรรทัดนั้นมักถูกอ้างเป็นหลักฐานว่าคุณสมบัติดังกล่าวทำงาน พื้นผิวการกำหนดค่าและการให้สิทธิ์คุณสมบัติตอบคำถามต่างกัน อย่างหนึ่งบอกว่าการตั้งค่าสามารถแสดงออกได้ อีกอย่างบอกว่ารุ่นมีสิทธิ์ในความสามารถนั้น
ยืนยันรุ่นและบิลด์ที่มีผลจริงแทนการเชื่อถือบันทึกการซื้อ การเปิดใช้งานที่จัดการ การอัปเกรดที่กำลังดำเนินอยู่ หรืออิมเมจที่สร้างใหม่ ล้วนทำให้เครื่องอยู่ในรุ่นที่ต่างจากที่รายการสินทรัพย์ระบุได้:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberหากผลลัพธ์ระบุว่าโปร อุโมงค์อุปกรณ์แบบเนทีฟอยู่นอกชุดคุณสมบัติที่เอกสารกำหนดสำหรับเครื่องนั้น ข้อสรุปนั้นไม่ต้องเปลี่ยนโปรไฟล์และจะไม่ได้รับการแก้ไขด้วยการเปลี่ยนโปรไฟล์ บันทึกการค้นพบนี้ก่อนเปลี่ยนสิ่งอื่นใด
ข้อกำหนดสี่ประการเบื้องหลังธงคุณสมบัติ
รุ่นคือประตู และข้อกำหนดที่เหลืออธิบายว่าเหตุใดเครื่องบนรุ่นที่ผ่านคุณสมบัติจึงยังล้มเหลว ตรวจสอบตามลำดับ เพราะแต่ละข้อให้ผลเงียบแบบเดียวกันได้ การข้ามแถวหนึ่งทำให้ความพยายามในแถวด้านล่างสูญเปล่า รุ่นมาก่อนด้วยเหตุผล
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
การตรวจสอบใบรับรองคือสิ่งที่ผู้คนข้าม คีย์ส่วนตัวต้องอยู่ในที่เก็บของเครื่องและใช้งานได้โดยบริบทของระบบก่อนเข้าสู่ระบบ ซึ่งเป็นที่เก็บคนละแห่งกับที่ผู้ใช้เห็นในกล่องโต้ตอบใบรับรองของตนเอง:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterใบรับรองที่ดูถูกต้องในที่เก็บของผู้ใช้อาจหายไปทั้งหมดจากที่เก็บของเครื่อง อุโมงค์อุปกรณ์จะล้มเหลวในการรับรองความถูกต้องก่อนหน้าจอเข้าสู่ระบบปรากฏ และการนำเข้าโปรไฟล์ใหม่ก็ไม่เปลี่ยนสิ่งนั้น ตรวจสอบที่เก็บที่บริการใช้ ไม่ใช่ที่ที่ผู้ใช้เห็น
งานตามกำหนดเวลาที่รันเป็น ระบบ ไม่ใช่คุณสมบัตินั้น
มีวิธีเลี่ยงที่เปิดโปรไฟล์อุโมงค์เสมือนส่วนตัวจากงานตามกำหนดเวลาซึ่งรันเป็น ระบบ ทำให้อุโมงค์ปรากฏไม่นานหลังบูต นั่นไม่ใช่อุโมงค์อุปกรณ์แบบเนทีฟ กลไกงานเริ่มต้นคนละจุด การเชื่อมต่อเป็นโปรไฟล์โหมดผู้ใช้ที่บัญชีบริการเปิด และวงจรชีวิตไม่ตรงกับอุโมงค์ที่รับรองด้วยเครื่องซึ่งต้องมีอยู่ที่หน้าจอเข้าสู่ระบบ
วิธีนั้นอาจผ่านการทดสอบผิวเผินเพราะอุโมงค์ทำงานแล้วเมื่อมีคนเข้าสู่ระบบและตรวจสอบ ความสำเร็จนั้นวัดความล่าช้าระหว่างบูตกับงาน ไม่ใช่การเชื่อมต่อก่อนเข้าสู่ระบบ และปล่อยให้เครื่องไม่มีอุโมงค์ในช่วงเวลาที่คุณสมบัติควรครอบคลุม
ถือว่าวิธีเลี่ยงไม่ได้รับการสนับสนุนสำหรับการผลิต หากการออกแบบพึ่งพามัน ข้อกำหนดน่าจะเป็นการเชื่อมต่อก่อนเข้าสู่ระบบ ซึ่งนำการอภิปรายกลับไปที่คุณสมบัติของรุ่น
เลือกระบบข้อกำหนดก่อนเทคโนโลยี
เขียนข้อกำหนดเป็นประโยคเดียว: อุปกรณ์ต้องเข้าถึงทรัพยากรที่ระบุชื่อก่อนที่ผู้ใช้คนใดจะเข้าสู่ระบบ หรือผู้ใช้ต้องการการเข้าถึงหลังเข้าสู่ระบบ หากประโยคที่สองเป็นจริง อุโมงค์ผู้ใช้ Always On บนโปรเป็นการออกแบบที่รองรับ และอุโมงค์อุปกรณ์เป็นความซับซ้อนที่ไม่จำเป็น
หากประโยคแรกเป็นจริง รุ่นคือประตูแข็ง เลือกรุ่นที่ผ่านคุณสมบัติหรือสถาปัตยกรรมก่อนเข้าสู่ระบบที่เอกสารกำหนดและองค์กรสนับสนุน และวางแผนการเปลี่ยนสิทธิ์ก่อนสร้างโปรไฟล์และใบรับรองรอบความสามารถที่เครื่องรันไม่ได้
บันทึกรุ่น สถานะการเข้าร่วม ตำแหน่งใบรับรอง และช่องทางการจัดเตรียมในบันทึกการติดตั้ง จากนั้นวิศวกรคนต่อไปจะยืนยันคุณสมบัติได้ในไม่กี่นาทีแทนการแก้ปัญหาโปรไฟล์เดิมซ้ำบนเครื่องที่ไม่เคยจะเชื่อมต่อ