ขอบเขตโปรไฟล์ VPN ของ Windows: ผู้ใช้ปัจจุบันหรือผู้ใช้ทั้งหมด
ขอบเขตกำหนดว่าโปรไฟล์ VPN แบบเนทีฟของ Windows ถูกเก็บไว้ที่ใดและใครเห็นได้บ้าง มันไม่ได้ทำให้การเชื่อมต่อเป็นอุโมงค์ของอุปกรณ์และไม่ได้แชร์ข้อมูลรับรอง
คุณรันคำสั่งกับโปรไฟล์ VPN มันไม่คืนข้อผิดพลาด และการเชื่อมต่อที่ผู้ใช้เริ่มทำงานเหมือนเดิมทุกประการ ไม่มีอะไรเสีย Windows เก็บโปรไฟล์ VPN แบบเนทีฟไว้ในที่เก็บสองแห่ง และคุณแก้ไขที่เก็บซึ่งไม่ได้ใช้งาน ชื่อที่แสดงเดียวกันสามารถมีอยู่ได้ทั้งสองที่ นั่นคือเหตุผลที่สคริปต์ดูเหมือนสำเร็จในขณะที่การเชื่อมต่อของผู้ใช้เพิกเฉยต่อทุกการเปลี่ยนแปลงที่คุณทำ
วิธีแก้ไม่ใช่สคริปต์ที่ดีกว่า แต่คือการระบุขอบเขตก่อนระบุชื่อโปรไฟล์
อาการและที่เก็บสองแห่ง
Windows เก็บโปรไฟล์ VPN แบบเนทีฟไว้ในสมุดโทรศัพท์ต่อผู้ใช้และในสมุดระดับเครื่องสำหรับผู้ใช้ทั้งหมด Get-VpnConnection อ่านที่เก็บของผู้ใช้ปัจจุบัน และ Get-VpnConnection -AllUserConnection อ่านที่เก็บของเครื่อง
โปรไฟล์ที่สร้างด้วย -AllUserConnection ปรากฏให้ทุกบัญชีบนเครื่องเห็นและต้องใช้เซสชันที่ยกระดับสิทธิ์ในการสร้างหรือลบ โปรไฟล์ที่สร้างโดยไม่มีตัวเลือกนี้เป็นของบัญชีที่รันคำสั่ง และผู้ใช้อื่นที่ลงชื่อเข้าใช้จะไม่เห็นอะไรเลย ทั้งคู่สามารถใช้ชื่อเดียวกันได้ และไม่มีตัวใดเตือนคุณว่าอีกตัวมีอยู่ นั่นคือเหตุผลที่อาการดูเหมือนความล้มเหลวเงียบแทนที่จะเป็นข้อความแสดงข้อผิดพลาด
ขอบเขตตัดสินอะไรจริง ๆ
ขอบเขตตอบสองคำถามและปฏิเสธที่จะตอบคำถามที่สาม
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
คนมักเข้าใจสองแถวสุดท้ายผิด โปรไฟล์สำหรับผู้ใช้ทั้งหมดคือที่เก็บในระดับเครื่อง ไม่ใช่ตัวตนของเครื่อง และไม่ได้ทำให้การเชื่อมต่อพร้อมใช้ก่อนมีคนลงชื่อเข้าใช้ด้วยตัวเอง อุโมงค์อุปกรณ์ Always On ของ Windows เป็นการกำหนดค่าแยกต่างหากที่มีข้อกำหนดเรื่องใบรับรองและโปรไฟล์ของตัวเอง ขอบเขตเป็นเรื่องของใครเห็นโปรไฟล์ได้ ไม่ใช่เรื่องของเครื่องคืออะไร
การมองเห็นไม่ใช่การพิสูจน์ตัวตน
โปรไฟล์สำหรับผู้ใช้ทั้งหมดยังต้องมีรูปแบบตัวตนและข้อมูลรับรองที่รองรับ การทำให้โปรไฟล์มองเห็นได้สำหรับทุกบัญชีไม่ได้ทำให้ทุกบัญชีเป็นผู้ใช้ที่ผ่านการรับรองคนเดียวกัน และไม่ได้รวมข้อมูลรับรองเข้าด้วยกัน
ถ้าการออกแบบต้องการให้อุโมงค์ทำงานก่อนลงชื่อเข้าใช้ คำตอบคืออุโมงค์อุปกรณ์ ไม่ใช่ขอบเขตโปรไฟล์ที่กว้างขึ้น ถ้าการออกแบบต้องการให้แต่ละคนนำเสนอใบรับรองของตนเอง โปรไฟล์ต่อผู้ใช้เข้ากับรูปแบบนั้นได้ดีกว่า เพราะโปรไฟล์ระดับเครื่องไม่สามารถนำเสนอข้อมูลรับรองที่เป็นของคนอื่นได้
การติดตั้งใช้งานและความเป็นเจ้าของนโยบาย
บนเครื่องที่ถูกจัดการ EMM หรือโปรไฟล์การกำหนดค่าสามารถสร้างสถานะที่บันทึกไว้ขึ้นใหม่หลังการเปลี่ยนแปลงของคุณ
นี่ไม่ใช่บั๊กในสคริปต์ของคุณ แต่เป็นเจ้าของสองรายที่เขียนลงในที่เก็บเดียวกัน ประสานขอบเขตกับผู้ที่เป็นเจ้าของนโยบาย และเลือกที่จะเปลี่ยนนโยบายมากกว่าการรันคำสั่งซ้ำตามกำหนดการ การแก้ไขในเครื่องที่แข่งขันกับนโยบายจะทำให้เครื่องที่โปรไฟล์ดูถูกต้องจนถึงการซิงค์ครั้งถัดไป
สิ่งที่ต้องบันทึกเมื่อมันพัง
บันทึกสามอย่างพร้อมกัน: ชื่อโปรไฟล์ ขอบเขตที่คุณเล็ง และข้อผิดพลาดการเชื่อมต่อจริง
เส้นทางหรือใบรับรองที่นำไปใช้กับโปรไฟล์ในที่เก็บอื่นจะไม่แก้ไขโปรไฟล์ที่ผู้ใช้เริ่ม และข้อความแสดงข้อผิดพลาดจะยังชี้ไปที่การเชื่อมต่อแทนการแก้ไขของคุณ หลังการเปลี่ยนแปลงที่ได้รับอนุมัติ ให้เชื่อมต่อใหม่ผ่านจุดเข้าใช้งานที่ตั้งใจและตรวจสอบทั้งเส้นทางที่นำไปใช้และการตั้งค่าที่บันทึกไว้ ที่เก็บโปรไฟล์ตอบว่าอะไรพร้อมใช้ ในขณะที่ การเชื่อมต่อที่ใช้งานอยู่ตอบว่าเครื่องกำลังทำอะไรอยู่ตอนนี้
เอกสารของ Microsoft สำหรับ Add-VpnConnection ระบุสวิตช์ขอบเขตไว้ข้างพารามิเตอร์ที่มันเปลี่ยนแปลง ซึ่งเป็นเครื่องเตือนใจที่มีประโยชน์ว่าขอบเขตเป็นการตัดสินใจตอนสร้าง ไม่ใช่การตั้งค่าที่คุณสลับภายหลัง