Тунель пристрою в Windows Pro? Перевірте матрицю випусків
Розгорнутий профіль не доводить право на використання. Порівняйте матрицю випусків, вузол CSP і передумови до входу, перш ніж налагоджувати тунель.
Профіль потрапляє на ноутбук, сторінка налаштувань VPN його показує, а тунель пристрою все одно ніколи не підключається на екрані входу. У Windows Pro це часто не помилка конфігурації. Вбудований тунель пристрою ліцензується за випуском, а тунель користувача, який працює після входу, доводить іншу можливість. Прочитайте вимогу, перш ніж налагоджувати сертифікат.
Симптом з’являється до того, як хтось увійде
Тунель користувача підключається в контексті користувача після входу, тому він нормально працює на Pro. Тунель пристрою має встановити підключення машини до входу будь-якого користувача, використовуючи сертифікат машини та IKEv2. Це різні етапи життєвого циклу, а не дві назви одного профілю.
На непридатному випуску профіль усе ще можна розгорнути й показати в списку, але підключення до входу не з’являється. Після входу тунель користувача може працювати бездоганно, через що розгортання виглядає здоровим під час кожної перевірки, яку виконує власник облікового запису. Збій не видно зсередини вже відкритого сеансу.
Надання профілю всім користувачам змінює те, кому дозволено ним користуватися. Це не змінює контекст автентифікації з користувача на машину, тому не може перетворити тунель користувача на тунель пристрою. Різниця в контексті автентифікації, а не у видимості профілю.
Читайте матрицю, а не лише вузол CSP
Матриця можливостей Windows 11 від Microsoft перелічує вбудований тунель пристрою Always On VPN для Enterprise і Education. Постачальник служби конфігурації VPNv2 окремо документує вузол DeviceTunnel, сфера застосування якого включає Pro, і цей рядок часто цитують як доказ того, що функція працює. Поверхня конфігурації та ліцензування функції відповідають на різні питання: одне каже, що параметр можна виразити, інше — що випуск має право на цю можливість.
Підтвердьте фактичний випуск і збірку, а не покладайтеся на запис про покупку. Керована активація, поточне оновлення або перестворений образ можуть залишити машину на іншому випуску, ніж зазначено в списку активів:
winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumberЯкщо вивід каже Pro, вбудований тунель пристрою перебуває поза документованим набором функцій для цієї машини. Цей висновок не вимагає зміни профілю і не буде виправлений нею. Запишіть цю знахідку, перш ніж змінювати щось інше.
Чотири передумови за прапорцем функції
Випуск — це ворота, а решта вимог пояснюють, чому машина на придатному випуску все одно зазнає невдачі. Перевіряйте їх по порядку, бо кожна може дати той самий тихий результат. Пропуск рядка марнує зусилля, вкладені в рядки нижче. Випуск іде першим недарма.
| Prerequisite | How to verify | Common failure |
|---|---|---|
| Edition and build | DISM /online /get-currentedition | Pro image with an Enterprise asset record |
| Join state | Domain membership in system information | Microsoft Entra join treated as domain join |
| Machine certificate | Certificate store in the local machine context | Certificate issued to the user store |
| Profile context | Provisioned through the machine channel | Delivered as a user tunnel profile |
Перевірка сертифіката — та, яку люди пропускають. Закритий ключ має бути в сховищі машини й бути придатним для системного контексту до входу, а це інше сховище, ніж те, яке користувач бачить у своєму діалозі сертифікатів:
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfterСертифікат, який виглядає правильним у сховищі користувача, може повністю бути відсутнім у сховищі машини. Тоді тунель пристрою не проходить автентифікацію до появи екрана входу, і жоден повторний імпорт профілю цього не змінює. Перевіряйте сховище, яке використовує служба, а не те, яке бачить користувач.
Планове завдання, що працює як SYSTEM, — це не та функція
Ходить обхідне рішення, яке запускає профіль VPN із планового завдання, що працює як SYSTEM, і тунель з’являється незабаром після завантаження. Це не вбудований тунель пристрою. Механізм завдань запускається в інший момент, підключення — це профіль у режимі користувача, запущений службовим обліковим записом, а життєвий цикл не відповідає тунелю з автентифікацією машини, який має існувати на екрані входу.
Воно може пройти поверхневу перевірку, бо на момент, коли хтось входить і перевіряє, тунель уже піднято. Цей успіх вимірює затримку між завантаженням і завданням, а не підключення до входу, і залишає машину без тунелю протягом вікна, яке функція мала покривати.
Вважайте обхідне рішення непідтримуваним для виробництва. Якщо проєкт залежить від нього, вимога, ймовірно, полягає в підключенні до входу, що повертає обговорення до права на випуск.
Виберіть вимогу до технології
Запишіть вимогу одним реченням: пристрій має досягти названого ресурсу до входу будь-якого користувача, або користувачеві потрібен доступ після входу. Якщо друге речення правдиве, тунель користувача Always On на Pro — підтримуваний проєкт, а тунель пристрою — зайва складність.
Якщо перше речення правдиве, випуск — жорсткі ворота. Виберіть придатний випуск або документовану архітектуру до входу, яку підтримує організація, і сплануйте зміну ліцензії, перш ніж будувати профілі та сертифікати навколо можливості, яку машина не може виконати.
Запишіть випуск, стан приєднання, розташування сертифіката й канал підготовки в нотатках про розгортання. Тоді наступний інженер зможе підтвердити право на використання за хвилини замість повторення того самого усунення проблем із профілем на машині, яка ніколи б не підключилася.