Đường hầm thiết bị trên Windows Pro? Kiểm tra ma trận phiên bản

Hồ sơ đến máy tính xách tay, trang cài đặt VPN hiển thị nó, vậy mà đường hầm thiết bị vẫn không bao giờ kết nối ở màn hình đăng nhập. Trên Windows Pro, đây thường không phải lỗi cấu hình. Đường hầm thiết bị gốc được cấp phép theo phiên bản, và đường hầm người dùng hoạt động sau khi đăng nhập chứng minh một khả năng khác. Hãy đọc yêu cầu trước khi gỡ lỗi chứng chỉ.

Triệu chứng xuất hiện trước khi bất kỳ ai đăng nhập

Đường hầm người dùng kết nối trong ngữ cảnh người dùng sau khi đăng nhập, đó là lý do nó hoạt động bình thường trên Pro. Đường hầm thiết bị phải thiết lập kết nối máy trước khi bất kỳ người dùng nào đăng nhập, bằng chứng chỉ máy và IKEv2. Đây là các giai đoạn khác nhau của vòng đời, không phải hai tên cho cùng một hồ sơ.

Trên phiên bản không phù hợp, hồ sơ vẫn có thể được triển khai và liệt kê, nhưng kết nối trước khi đăng nhập không xuất hiện. Sau khi đăng nhập, đường hầm người dùng có thể hoạt động hoàn hảo, khiến việc triển khai trông khỏe mạnh trong mọi lần kiểm tra của chủ tài khoản. Lỗi này không thể thấy từ bên trong một phiên đã đăng nhập.

Cung cấp hồ sơ cho mọi người dùng chỉ thay đổi ai được phép dùng nó. Nó không thay đổi ngữ cảnh xác thực từ người dùng sang máy, nên không thể biến đường hầm người dùng thành đường hầm thiết bị. Khác biệt nằm ở ngữ cảnh xác thực, không phải khả năng hiển thị của hồ sơ.

Đọc ma trận, không chỉ nút CSP

Ma trận tính năng Windows 11 của Microsoft liệt kê đường hầm thiết bị Always On VPN gốc cho Enterprise và Education. Nhà cung cấp dịch vụ cấu hình VPNv2 ghi tài liệu riêng cho nút DeviceTunnel với phạm vi áp dụng bao gồm Pro, và dòng đó thường được trích dẫn làm bằng chứng rằng tính năng hoạt động. Bề mặt cấu hình và việc cấp phép tính năng trả lời các câu hỏi khác nhau: một bên nói rằng có thể diễn đạt một cài đặt, bên kia nói rằng phiên bản có quyền đối với khả năng đó.

Xác nhận phiên bản và bản dựng thực tế thay vì tin vào hồ sơ mua hàng. Kích hoạt được quản lý, bản nâng cấp đang diễn ra hoặc hình ảnh được dựng lại đều có thể để máy ở phiên bản khác với danh sách tài sản:

winver
DISM /online /get-currentedition
Get-ComputerInfo | Select-Object WindowsProductName, WindowsEditionId, OsBuildNumber

Nếu đầu ra ghi Pro, đường hầm thiết bị gốc nằm ngoài bộ tính năng được ghi tài liệu cho máy đó. Kết luận đó không cần thay đổi hồ sơ và sẽ không được sửa bằng thay đổi đó. Ghi lại phát hiện này trước khi thay đổi bất cứ điều gì khác.

Bốn điều kiện phía sau cờ tính năng

Phiên bản là cổng, các yêu cầu còn lại giải thích vì sao máy trên phiên bản phù hợp vẫn thất bại. Kiểm tra theo thứ tự, vì mỗi điều kiện đều có thể tạo ra cùng một kết quả im lặng. Bỏ qua một hàng sẽ lãng phí công sức dành cho các hàng bên dưới. Phiên bản đứng đầu là có lý do.

Kiểm tra chứng chỉ là bước mọi người bỏ qua. Khóa riêng phải có trong kho của máy và dùng được trong ngữ cảnh hệ thống trước khi đăng nhập, đây là kho khác với kho người dùng thấy trong hộp thoại chứng chỉ của chính họ:

Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.HasPrivateKey } | Select-Object Subject, NotAfter

Một chứng chỉ trông đúng trong kho của người dùng có thể hoàn toàn vắng mặt trong kho của máy. Khi đó đường hầm thiết bị thất bại xác thực trước khi màn hình đăng nhập xuất hiện, và không việc nhập lại hồ sơ nào thay đổi được điều đó. Hãy kiểm tra kho mà dịch vụ sử dụng, không phải kho người dùng thấy.

Tác vụ theo lịch chạy dưới SYSTEM không phải tính năng đó

Có một cách lách đang lưu truyền: khởi chạy hồ sơ VPN từ tác vụ theo lịch chạy dưới SYSTEM, khiến đường hầm xuất hiện ngay sau khi khởi động. Đó không phải đường hầm thiết bị gốc. Bộ máy tác vụ khởi động ở thời điểm khác, kết nối là hồ sơ chế độ người dùng do tài khoản dịch vụ khởi chạy, và vòng đời không khớp với đường hầm được xác thực bằng máy phải tồn tại ở màn hình đăng nhập.

Nó có thể vượt qua một bài kiểm tra hời hợt vì đường hầm đã hoạt động vào lúc ai đó đăng nhập và kiểm tra. Thành công đó đo độ trễ giữa khởi động và tác vụ, không phải kết nối trước khi đăng nhập, và nó để máy không có đường hầm trong khoảng thời gian mà tính năng lẽ ra phải bao phủ.

Coi cách lách là không được hỗ trợ cho môi trường sản xuất. Nếu một thiết kế phụ thuộc vào nó, yêu cầu có lẽ là kết nối trước khi đăng nhập, điều này đưa cuộc thảo luận trở lại tính phù hợp của phiên bản.

Chọn yêu cầu trước công nghệ

Viết yêu cầu thành một câu: thiết bị phải đến được một tài nguyên có tên trước khi bất kỳ người dùng nào đăng nhập, hoặc người dùng cần truy cập sau khi đăng nhập. Nếu câu thứ hai đúng, đường hầm người dùng Always On trên Pro là thiết kế được hỗ trợ và đường hầm thiết bị là sự phức tạp không cần thiết.

Nếu câu thứ nhất đúng, phiên bản là cổng cứng. Chọn một phiên bản phù hợp hoặc kiến trúc trước đăng nhập được ghi tài liệu mà tổ chức hỗ trợ, và lên kế hoạch thay đổi giấy phép trước khi xây dựng hồ sơ và chứng chỉ quanh một khả năng mà máy không thể chạy.

Ghi phiên bản, trạng thái tham gia, vị trí chứng chỉ và kênh cung cấp vào ghi chú triển khai. Khi đó kỹ sư tiếp theo có thể xác nhận tính phù hợp trong vài phút thay vì lặp lại cùng một quy trình xử lý sự cố hồ sơ trên một máy lẽ ra không bao giờ kết nối.