Область профілю VPN у Windows: поточний користувач чи всі користувачі?
Область визначає, де зберігається власний профіль VPN у Windows і хто може його бачити. Вона не робить з’єднання тунелем пристрою і не передає облікові дані.
Ви виконуєте команду для профілю VPN, вона не повертає помилки, а з’єднання, яке запускає користувач, поводиться точно як раніше. Нічого не зламано. Windows тримає власні профілі VPN у двох сховищах, і ви відредагували те, яке не використовується. Те саме відображуване ім’я може існувати в обох, і саме тому скрипт виглядає успішним, а з’єднання користувача ігнорує кожну вашу зміну.
Рішення не в кращому скрипті; воно в тому, щоб назвати область раніше, ніж профіль.
Симптом і два сховища
Windows тримає власні профілі VPN у телефонній книзі кожного користувача і в загальномашинній книзі для всіх користувачів. Get-VpnConnection читає сховище поточного користувача, а Get-VpnConnection -AllUserConnection — машинне.
Профіль, створений з -AllUserConnection, видно кожному обліковому запису на машині, і для створення чи видалення потрібен сеанс із підвищеними правами. Профіль, створений без нього, належить запису, який виконав команду, а інший користувач під час входу не бачить нічого. Обидва можуть носити однакове ім’я, і жоден не попереджає, що існує інший. Тому симптом виглядає як тиха відмова, а не як повідомлення про помилку.
Що область справді визначає
Область відповідає на два питання і відмовляється відповідати на третє:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Саме останні два рядки люди розуміють неправильно. Профіль для всіх користувачів — це сховище машинної області, а не машинна ідентичність, і сам по собі він не робить з’єднання доступним до чийогось входу. Тунель пристрою Windows Always On — окрема конфігурація з власними вимогами до сертифіката й профілю. Область стосується того, хто може бачити профіль, а не того, чим є машина.
Видимість — не автентифікація
Профілю для всіх користувачів усе ще потрібна підтримувана схема ідентичності та облікових даних. Видимість профілю для кожного запису не робить усі записи тим самим автентифікованим користувачем і не об’єднує облікові дані.
Якщо проєкт вимагає, щоб тунель був піднятий до входу, відповідь — тунель пристрою, а не ширша область профілю. Якщо проєкт вимагає, щоб кожна людина пред’явила власний сертифікат, профіль для окремого користувача краще відповідає цій моделі, бо загальномашинний профіль не може пред’явити облікові дані, що належать комусь іншому.
Розгортання і володіння політикою
На керованих машинах EMM або профіль конфігурації може відтворити збережений стан після вашої зміни.
Це не помилка у вашому скрипті; це два власники, які пишуть в одне сховище. Узгодьте область із власником політики і віддавайте перевагу зміні політики, а не повторному запуску команди за розкладом. Локальне виправлення, що конкурує з політикою, дає машину, де профіль виглядає правильним до наступної синхронізації.
Що записувати, коли воно ламається
Записуйте три речі разом: ім’я профілю, цільову область і фактичну помилку з’єднання.
Маршрут або сертифікат, застосований до профілю в іншому сховищі, не виправить той, який запускає користувач, і текст помилки й надалі вказуватиме на з’єднання, а не на вашу правку. Після схваленої зміни перепідключіться через передбачену точку входу і перегляньте як застосоване маршрутизування, так і збережені налаштування. Сховище профілів відповідає, що доступно, а активне з’єднання відповідає, що робить пристрій зараз.
Документація Microsoft для Add-VpnConnection перелічує перемикач області поряд із параметрами, які він змінює, і це корисне нагадування, що область — рішення, ухвалене під час створення, а не налаштування, яке ви перемикаєте пізніше.