نفق الجهاز أم نفق المستخدم في Windows Always On VPN؟

الحاسوب المحمول الذي يحتاج إلى الوصول إلى خادم إدارة من شاشة تسجيل الدخول، والحاسوب المحمول الذي يحتاج إلى الوصول إلى مشاركات الملفات بعد مصادقة المستخدم، مشكلتان مختلفتان. يحل Windows المشكلتين بنفقين مختلفين، والفرق ليس في أي منهما يظهر في قائمة الملفات الشخصية. يعمل نفق الجهاز باسم الجهاز، قبل أن يسجل أي شخص الدخول. ويعمل نفق المستخدم باسم الشخص، بعد أن تصبح للمنصة هوية تعمل بها. والاختيار بينهما يبدأ من اللحظة التي يجب أن تمر فيها حركة المرور، لا من الموارد التي يجب أن تصل إليها.

هويتان، لحظتان

يُنشأ نفق الجهاز في سياق الجهاز، ولهذا يستطيع أن يحمل حركة المرور اللازمة لمصادقة مستخدم أو لتمكين وكلاء الإدارة من تسجيل الحضور قبل تسجيل الدخول. أما نفق المستخدم فيُنشأ في سياق المستخدم، بعد تسجيل الدخول، ببيانات اعتماد المستخدم وبالنهج المطبق على ذلك الحساب.

فارق التوقيت هذا هو التصميم كله. وكل شيء آخر يتبع منه، بما في ذلك طرق المصادقة المتاحة والموارد التي يكون لها معنى.

إذا كان المطلوب تطبيقًا خاصًا بالأعمال يستخدمه شخص مسجل الدخول، فإن نفق المستخدم يلبي ذلك. وإذا كان المطلوب وحدة تحكم بالمجال أو سلطة شهادات أو خدمة إدارة يمكن الوصول إليها من شاشة تسجيل الدخول، فإن نفق الجهاز وحده يأتي مبكرًا بما يكفي.

دفتر الهاتف ليس هو الفارق

حفظ ملف تعريف أصلي في دفتر الهاتف الخاص بجميع المستخدمين لا ينشئ نفق جهاز. يصبح الملف متاحًا لكل مستخدم على الجهاز، وهذه مسألة نطاق تخزين، لكنه لا يزال يتصل في سياق المستخدم.

نفق الجهاز الحقيقي يُكوَّن بوصفه كذلك، مع متطلبات المنصة والبروتوكول والشهادة التي توثقها Microsoft له. وتشمل تلك المتطلبات إصدارًا يدعمه، وجهازًا منضمًا إلى المجال، وIKEv2، ومصادقة بشهادة الجهاز. أما ملف تعريف باسم device نُسخ من نفق مستخدم ثم أُعيدت تسميته، فلا يفي بأي من ذلك.

إن وثائق Microsoft حول نفق الجهاز هي المرجع لشكل ملف التعريف، ويستحق قراءتها قبل افتراض أن ملف تعريف مستخدم عاملًا يمكن إعادة استخدامه.

اجعل كل مسار ضيقًا

ينبغي أن يصل نفق الجهاز إلى ما يحتاجه الجهاز فقط قبل تسجيل الدخول: الدليل، وسلطة الشهادات، ونقطة نهاية الإدارة، وسجلات DNS التي تحلّها. ويجب أن تعكس مساراته وقواعد جدار الحماية تلك القائمة القصيرة لا النطاق المؤسسي الكامل.

يحمل نفق المستخدم وصول الشخص، ويمكن تقييده بالمجموعة أو التطبيق أو الوجهة حسبما يتطلب النشر. وخلط النطاقين هو الطريق الذي ينتهي به نفق ما قبل تسجيل الدخول إلى امتلاك وصول إلى مشاركات الملفات لا ينبغي أن يحظى به أي حساب جهاز.

يمكن نشر النفقين معًا، وهذا ما يحدث في معظم تصاميم Always On. يظهر نفق الجهاز أولًا ويبقى ضيقًا. ويظهر نفق المستخدم عند تسجيل الدخول ويحمل حركة العمل. وإذا نشرت واحدًا فقط، فقرر أي فشل يمكنك تحمله. فشاشة تسجيل دخول بلا شبكة، ونفق مستخدم يحمل حركة الإدارة، كلاهما سيئ، لكن واحدًا منهما فقط هو المقبول عادة في بيئتك.

اختبر المرحلة، لا المتصفح

طلب متصفح ناجح بعد تسجيل الدخول يثبت نفق المستخدم، ولا يقول شيئًا عن نفق الجهاز. اختبر المراحل على حدة: الإقلاع البارد حتى شاشة تسجيل الدخول، وتسجيل الدخول نفسه، واتصال المستخدم، والتعافي بعد السكون أو تغير الشبكة.

عند شاشة تسجيل الدخول، الفحص هو ما إذا كان الجهاز يستطيع الوصول إلى نقطة نهاية الإدارة دون أي مستخدم مسجل الدخول. هذه هي اللحظة الوحيدة التي يوجد فيها نفق الجهاز بمفرده، وهي المرحلة التي يتخطاها الناس لأن اختبارها يتطلب إعادة التشغيل.

بعد تسجيل الدخول، افحص نفق المستخدم على حدة، بما في ذلك الحالة التي يكون فيها نفق الجهاز قائمًا ونفق المستخدم قد فشل. نفقان بحالتين ينتجان أربع تركيبات، وواحد منها فقط يبدو سليمًا.

عند الفشل، سمِّ النفق أولًا

تجديد شهادة الجهاز واستعادة حساب المستخدم مهمتان مختلفتان بمالكين مختلفين. فنفق جهاز يفشل بعد انتهاء صلاحية شهادة لن يُصلح بإعادة تعيين بيانات اعتماد المستخدم، ونفق مستخدم يفشل بعد تغيير كلمة المرور لن يُصلح بإعادة إصدار شهادة الجهاز.

سجّل أي نفق كان نشطًا، وأي هوية استخدم، وأي مرحلة فشلت، ثم قارن ذلك بالمتطلبات الموثقة للإصدار وبيئة الإدارة المستخدمة. فنسخ معالج VPN عام قديم هو الطريق الذي ينتهي به النشر إلى نفق جهاز لا يعمل إلا للمسؤولين.

ترتيب العمل: سمِّ اللحظة التي يجب أن تمر فيها حركة المرور، واختر النفق الموجود في تلك اللحظة، وضيّق مساراته، واختبر كل مرحلة من دورة الحياة على حدة، وأبقِ إجراءات استعادة الهويتين منفصلة.