Saklaw ng profile ng VPN sa Windows: kasalukuyang user o lahat ng user?
Ang saklaw ang nagtatakda kung saan iniimbak ang native na profile ng VPN sa Windows at sino ang makakakita nito. Hindi nito ginagawang device tunnel ang koneksyon at hindi ito nagbabahagi ng mga kredensyal.
Nagpapatakbo ka ng utos laban sa isang profile ng VPN, walang error na ibinabalik ito, at ang koneksyong sinisimulan ng user ay kumikilos nang eksaktong tulad ng dati. Walang sira. Iniimbak ng Windows ang mga native na profile ng VPN sa dalawang tindahan, at ang na-edit mo ay ang hindi ginagamit. Maaaring umiral ang parehong display name sa pareho, at ganoon nga ang isang script ay mukhang nagtagumpay habang binabalewala ng koneksyon ng user ang bawat pagbabagong ginawa mo.
Ang solusyon ay hindi isang mas mahusay na script; ito ay ang pangalanan ang saklaw bago pangalanan ang profile.
Ang sintomas, at ang dalawang tindahan
Iniimbak ng Windows ang mga native na profile ng VPN sa isang phone book kada user at sa isang phone book sa antas ng makina para sa lahat ng user. Binabasa ng Get-VpnConnection ang tindahan ng kasalukuyang user, at binabasa ng Get-VpnConnection -AllUserConnection ang tindahan ng makina.
Ang profile na ginawa gamit ang -AllUserConnection ay lumilitaw para sa bawat account sa makina at nangangailangan ng elevated na session upang magawa o maalis. Ang profile na ginawa nang wala ito ay pag-aari ng account na nagpatakbo ng utos, at ang ibang user na nag-sign in ay wala talagang nakikita. Maaaring magdala ang dalawa ng parehong pangalan, at wala sa kanila ang nagbababala sa iyo na may umiiral na isa pa. Kaya nga ang sintomas ay mukhang tahimik na pagkabigo sa halip na mensahe ng error.
Ano ang tunay na itinatakda ng saklaw
Sinasagot ng saklaw ang dalawang tanong at tumatangging sagutin ang ikatlo:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Ang huling dalawang hilera ang madalas mali ang pagkakaintindi ng mga tao. Ang profile para sa lahat ng user ay imbakan sa saklaw ng makina, hindi identidad ng makina, at hindi nito ginagawang available ang koneksyon nang mag-isa bago mag-sign in ang sinuman. Ang Always On na device tunnel ng Windows ay hiwalay na configuration na may sariling mga pangangailangan sa certificate at profile. Ang saklaw ay tungkol sa kung sino ang makakakita ng profile, hindi tungkol sa kung ano ang makina.
Ang visibility ay hindi authentication
Ang profile para sa lahat ng user ay nangangailangan pa rin ng sinusuportahang kaayusan ng identidad at kredensyal. Ang gawing nakikita ang profile para sa bawat account ay hindi ginagawang parehong authenticated na user ang bawat account, at hindi nito pinagsasama ang mga kredensyal.
Kung kailangan ng disenyo na nakataas ang tunnel bago mag-sign in, ang sagot ay device tunnel at hindi mas malawak na saklaw ng profile. Kung kailangan ng disenyo na ipakita ng bawat tao ang sariling certificate, mas umaangkop ang profile kada user sa modelong iyon, dahil hindi maipapakita ng profile sa saklaw ng makina ang kredensyal na pag-aari ng iba.
Deployment at pagmamay-ari ng patakaran
Sa mga pinamamahalaang makina, maaaring muling likhain ng EMM o configuration profile ang naka-save na estado pagkatapos ng iyong pagbabago.
Hindi ito bug sa iyong script; ito ay dalawang may-ari na nagsusulat sa parehong tindahan. I-coordinate ang saklaw sa may-ari ng patakaran, at mas gustuhing baguhin ang patakaran kaysa muling patakbuhin ang utos ayon sa iskedyul. Ang lokal na pagbabagong nakikipagkumpitensya sa patakaran ay gumagawa ng makinang mukhang tama ang profile hanggang sa susunod na pag-sync.
Ano ang itatala kapag nasira ito
Itala ang tatlong bagay nang sabay: ang pangalan ng profile, ang saklaw na pinuntirya mo, at ang aktwal na error sa koneksyon.
Ang ruta o certificate na inilapat sa profile sa kabilang tindahan ay hindi aayusin ang sinisimulan ng user, at ang teksto ng error ay patuloy na tuturo sa koneksyon sa halip na sa iyong pag-edit. Pagkatapos ng aprubadong pagbabago, muling kumonekta sa pamamagitan ng inilaan na entry point at suriin ang inilapat na routing gayundin ang naka-save na mga setting. Sinasagot ng tindahan ng profile kung ano ang available, samantalang sinasagot ng aktibong koneksyon kung ano ang ginagawa ng device ngayon.
Inililista ng dokumentasyon ng Microsoft para sa Add-VpnConnection ang switch ng saklaw sa tabi ng mga parameter na binabago nito, na isang kapaki-pakinabang na paalala na ang saklaw ay desisyong ginagawa sa paggawa, hindi setting na binabaliktad mo mamaya.