Device Tunnel ist eine MDM-Policy-Funktion (CSP ./Vendor/MSFT/VPNv2). Jeder Eintrag trägt eine EnrollmentID als Policy-Quelle. Fehlt die Quelle (kein echtes MDM oder „Offline-Enrollment“ wird nicht als gültig anerkannt), dann greift MDM ResourceManager → DeleteResource (601). Ergebnis: Kein persistenter Device-Tunnel ohne echtes MDM.
