Toesteltonnel of gebruikerstonnel in Windows Always On VPN?

’n Skootrekenaar wat vanaf die aanmeldskerm ’n bestuursserver moet bereik en ’n skootrekenaar wat ná die gebruiker se verifikasie lêerskywe moet bereik, is twee verskillende probleme. Windows los dit met twee verskillende tonnels, en die verskil is nie watter een in die profielys verskyn nie. Die toesteltonnel loop as die masjien, voordat iemand aanmeld. Die gebruikerstonnel loop as die persoon, nadat die platform ’n identiteit het om mee te werk. Om tussen hulle te kies begin by die oomblik wanneer die verkeer moet vloei, nie by die hulpbronne wat dit moet bereik nie.

Twee identiteite, twee oomblikke

Die toesteltonnel vestig in masjienkonteks, en daarom kan dit die verkeer dra wat nodig is om ’n gebruiker te verifieer of om bestuursagente voor aanmelding te laat inklok. Die gebruikerstonnel vestig in gebruikerskonteks, ná aanmelding, met die gebruiker se geloofsbriewe en die beleid wat op daardie rekening van toepassing is.

Daardie tydsverskil is die hele ontwerp. Alles anders volg daaruit, insluitend watter verifikasiemetodes beskikbaar is en watter hulpbronne sin maak.

As die vereiste ’n saketoepassing is wat deur ’n aangemelde persoon gebruik word, antwoord die gebruikerstonnel dit. As die vereiste ’n domeinbeheerder, ’n sertifikaatowerheid of ’n bestuursdiens is wat vanaf die aanmeldskerm bereikbaar is, is net die toesteltonnel vroeg genoeg.

Die telefoonboek is nie die onderskeid nie

Om ’n native profiel in die alle-gebruikers-telefoonboek te stoor, skep nie ’n toesteltonnel nie. Die profiel word vir elke gebruiker op die masjien beskikbaar, wat ’n vraag oor bergingsomvang is, en dit verbind steeds in gebruikerskonteks.

’n Regte toesteltonnel word as sodanig opgestel, met die platform-, protokol- en sertifikaatvereistes wat Microsoft daarvoor dokumenteer. Daardie vereistes sluit in ’n uitgawe wat dit ondersteun, ’n domeingekoppelde toestel, IKEv2 en masjiensertifikaatverifikasie. ’n Profiel met die naam device, van ’n gebruikerstonnel gekopieer en hernoem, voldoen aan niks daarvan nie.

Microsoft se dokumentasie oor toesteltonnels is die verwysing vir die vorm van die profiel, en dit is die moeite werd om dit te lees voordat jy aanneem dat ’n werkende gebruikerprofiel hergebruik kan word.

Hou elke pad smal

Die toesteltonnel moet net bereik wat die masjien voor aanmelding nodig het: die gids, die sertifikaatowerheid, die bestuursendpunt en die DNS-rekords wat hulle oplos. Sy roetes en vuurmuurreëls moet daardie kort lys weerspieël eerder as die volle korporatiewe reeks.

Die gebruikerstonnel dra die persoon se toegang en kan volgens groep, toepassing of bestemming beperk word soos die ontplooiing vereis. Om die twee omvange te meng, is hoe ’n voor-aanmeldingstonnel lêerskyftoegang kry wat geen masjienrekening ooit behoort te hê nie.

Albei tonnels kan saam ontplooi word, en in die meeste Always On-ontwerpe is hulle dit. Die toesteltonnel kom eerste op en bly smal. Die gebruikerstonnel kom by aanmelding op en dra die werkverkeer. As jy net een ontplooi, besluit watter fout jy kan verdra. ’n Aanmeldskerm sonder netwerk en ’n gebruikerstonnel wat bestuursverkeer dra, is albei sleg, maar net een van hulle is gewoonlik in jou omgewing aanvaarbaar.

Toets die fase, nie die blaaier nie

’n Werkende blaaiernavraag ná aanmelding bewys die gebruikerstonnel en sê niks oor die toesteltonnel nie. Toets die fases afsonderlik: koue begin tot by die aanmeldskerm, die aanmelding self, die gebruikerverbinding, en herstel ná slaap of ’n netwerkverandering.

By die aanmeldskerm is die toets of die masjien die bestuursendpunt kan bereik sonder dat enige gebruiker aangemeld is. Dit is die enigste oomblik waarop die toesteltonnel op sy eie bestaan, en dit is die fase wat mense oorslaan omdat die toets daarvan ’n herbegin vereis.

Ná aanmelding, toets die gebruikerstonnel afsonderlik, insluitend die geval waar die toesteltonnel op is maar die gebruikerstonnel gefaal het. Twee tonnels met twee toestande lewer vier kombinasies, en net een van hulle lyk gesond.

Wanneer dit faal, noem eers die tonnel

Vernuwing van masjiensertifikate en herstel van gebruikersrekeninge is verskillende take met verskillende eienaars. ’n Toesteltonnel wat ná ’n sertifikaat se verstryking faal, sal nie reggestel word deur die gebruiker se geloofsbriewe te herstel nie, en ’n gebruikerstonnel wat ná ’n wagwoordverandering faal, sal nie reggestel word deur die masjiensertifikaat te heruitreik nie.

Teken aan watter tonnel aktief was, watter identiteit dit gebruik het en watter fase gefaal het, en vergelyk dit dan met die gedokumenteerde vereistes vir die uitgawe en bestuursomgewing wat in gebruik is. Om ’n ou generiese VPN-towenaar te kopieer, is hoe ontplooiings ’n toesteltonnel kry wat net vir administrateurs werk.

Volgorde van werk: noem die oomblik wanneer verkeer moet vloei, kies die tonnel wat op daardie oomblik bestaan, maak sy roetes smal, toets elke lewensiklusfase afsonderlik, en hou die twee identiteite se herstelprosedures apart.