Phạm vi hồ sơ VPN của Windows: người dùng hiện tại hay tất cả người dùng?
Phạm vi quyết định nơi lưu hồ sơ VPN gốc của Windows và ai có thể nhìn thấy nó. Nó không biến kết nối thành đường hầm thiết bị và không chia sẻ thông tin xác thực.
Bạn chạy một lệnh trên hồ sơ VPN, lệnh không trả về lỗi, và kết nối mà người dùng khởi chạy hoạt động đúng như trước. Không có gì hỏng. Windows lưu hồ sơ VPN gốc trong hai kho, và bạn đã chỉnh sửa kho không được dùng. Cùng một tên hiển thị có thể tồn tại ở cả hai, và đó là lý do một script có vẻ thành công trong khi kết nối của người dùng bỏ qua mọi thay đổi bạn đã làm.
Giải pháp không phải là một script tốt hơn; mà là đặt tên phạm vi trước khi đặt tên hồ sơ.
Triệu chứng và hai kho
Windows lưu hồ sơ VPN gốc trong một danh bạ điện thoại theo từng người dùng và trong một danh bạ cấp máy cho tất cả người dùng. Get-VpnConnection đọc kho của người dùng hiện tại, và Get-VpnConnection -AllUserConnection đọc kho của máy.
Hồ sơ được tạo với -AllUserConnection xuất hiện cho mọi tài khoản trên máy và cần một phiên được nâng quyền để tạo hoặc xóa. Hồ sơ được tạo mà không có tùy chọn đó thuộc về tài khoản đã chạy lệnh, và người dùng khác đăng nhập sẽ không thấy gì cả. Cả hai có thể mang cùng một tên, và không cái nào cảnh báo bạn rằng cái kia tồn tại. Đó là lý do triệu chứng trông giống một thất bại im lặng hơn là một thông báo lỗi.
Phạm vi thực sự quyết định điều gì
Phạm vi trả lời hai câu hỏi và từ chối trả lời câu thứ ba:
| Question | Current user | All users |
|---|---|---|
| Who can see the profile | The account that created it | Every account on the machine |
| Elevation to create or remove | Not required | Required |
| Where the profile lives | Per-user phone book | Machine-wide phone book |
| Does it authenticate a device | No | No |
| Does it start before sign-in | No | No, that needs a device tunnel |
Chính hai hàng cuối là điều mọi người hiểu sai. Hồ sơ cho tất cả người dùng là lưu trữ theo phạm vi máy, không phải danh tính máy, và tự nó không làm kết nối khả dụng trước khi ai đó đăng nhập. Đường hầm thiết bị Always On của Windows là một cấu hình riêng với các yêu cầu chứng chỉ và hồ sơ của nó. Phạm vi nói về ai có thể thấy hồ sơ, không phải về máy là gì.
Khả năng hiển thị không phải xác thực
Hồ sơ cho tất cả người dùng vẫn cần một cách bố trí danh tính và thông tin xác thực được hỗ trợ. Việc làm cho hồ sơ hiển thị với mọi tài khoản không biến mọi tài khoản thành cùng một người dùng đã xác thực, và không gộp thông tin xác thực lại.
Nếu thiết kế yêu cầu đường hầm phải hoạt động trước khi đăng nhập, câu trả lời là đường hầm thiết bị chứ không phải phạm vi hồ sơ rộng hơn. Nếu thiết kế yêu cầu mỗi người tự trình bày chứng chỉ của mình, hồ sơ theo từng người dùng phù hợp hơn với mô hình đó, vì hồ sơ theo phạm vi máy không thể trình bày thông tin xác thực thuộc về người khác.
Triển khai và quyền sở hữu chính sách
Trên các máy được quản lý, một EMM hoặc một hồ sơ cấu hình có thể tạo lại trạng thái đã lưu sau thay đổi của bạn.
Đây không phải lỗi trong script của bạn; đây là hai chủ sở hữu cùng ghi vào một kho. Phối hợp phạm vi với người sở hữu chính sách, và ưu tiên thay đổi chính sách hơn là chạy lại lệnh theo lịch. Một bản sửa cục bộ cạnh tranh với chính sách tạo ra một máy mà hồ sơ trông đúng cho đến lần đồng bộ tiếp theo.
Cần ghi lại gì khi nó hỏng
Ghi lại ba thứ cùng nhau: tên hồ sơ, phạm vi bạn nhắm tới và lỗi kết nối thực tế.
Một tuyến hoặc chứng chỉ áp dụng cho hồ sơ trong kho kia sẽ không sửa được hồ sơ mà người dùng khởi chạy, và nội dung lỗi sẽ tiếp tục chỉ vào kết nối thay vì chỉnh sửa của bạn. Sau một thay đổi đã được phê duyệt, hãy kết nối lại qua điểm vào dự kiến và kiểm tra cả định tuyến đã áp dụng lẫn các thiết lập đã lưu. Kho hồ sơ trả lời cái gì đang có sẵn, trong khi kết nối đang hoạt động trả lời thiết bị đang làm gì ngay bây giờ.
Tài liệu của Microsoft cho Add-VpnConnection liệt kê công tắc phạm vi bên cạnh các tham số mà nó thay đổi, đây là một lời nhắc hữu ích rằng phạm vi là quyết định khi tạo chứ không phải một thiết lập bạn lật sau đó.