Always On VPN LAN girişi deyil: resurs yoxlama siyahısı

Always On əlaqənin həyat dövrüdür: profil giriş zamanı və ya ondan əvvəl qoşulur və istifadəçi heç nə basmadan yenidən qoşulur. Bu, hər özəl təyinatın, protokolun və istifadəçinin icazəli olması demək deyil. Praktik sual yerləşdirilmiş profilin həqiqətən hansı resursları çatdırdığıdır və cavab Connected nişanına baxmaqla deyil, hər resurs üzrə yoxlama ilə tapılır.

Addım 1: Resursu sınaqdan əvvəl yazın

Hər tətbiq üçün bir qısa qeyd saxlayın və dəyərləri real mühitdən götürün: ad, təyinat prefiksi, xidmət və port, tünel rolu, kimlik qrupu və həlledici yolu.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Qeyd dörd ayrı sualı məcbur edir. Marşrut ünvanın hara getdiyini müəyyən edir; DNS siyasəti müştərinin ünvanı necə öyrəndiyini müəyyən edir; trafik filtri bu trafikin əlaqədən istifadə edə biləcəyini müəyyən edir; təyinatın firewall və tətbiq icazələri sorğunun qəbul edilib-edilməyəcəyini müəyyən edir. Dördündən heç biri qoşulmuş tüneldən irəli gəlmir.

Addım 2: Hansı tünelin daşıyacağını müəyyən edin

Windows Always On VPN-də cihaz tüneli və istifadəçi tüneli var və onlar ayrı sertifikatlar və ayrı əhatə dairələri ilə ayrı profillər kimi qurulur. Cihaz tüneli adətən yalnız girişdən əvvəl lazım olan infrastrukturu daşıyır, məsələn idarəetmə və domen xidmətləri; işçilərin geniş tətbiq girişi istifadəçi tünelinə aiddir.

Trafik filtrləri cihaz tünelinin xüsusiyyətidir, buna görə Microsoft nümunəsi onları idarəetmə trafiki üçün istifadə edir. Həmin nümunəni ümumi resurs profilinə köçürmək qoşulan, lakin səhv dəsti daşıyan tünel verir. Aktiv əlaqəni Get-VpnConnection ilə təsdiqləyin və sınağı həmin əlaqə altında aparın.

Addım 3: Real ünvan üçün marşrutu yoxlayın

Adı bir dəfə həll edin, sonra marşrutu yoxlayın: Find-NetRoute -RemoteIPAddress 10.20.5.10 seçilmiş interfeysi, növbəti atlamanı və mənbə ünvanını göstərir. İnterfeys fiziki adapterdirsə, prefiks tünelin marşrut dəstində yoxdur və ya müştəri onu bölünmüş tunellə çıxarıb. Lokal marşrut əlavə etmək əvəzinə profil tərifi ilə müqayisə edin.

Lokal route add testi keçirə və növbəti siyasət yenilənməsində yox ola bilər, buna görə dəyişiklik idarə olunan profilə aiddir. Prefiksi həm istifadəçi, həm cihaz profilində yoxlayın və bölünmüş tünel parametrini nəzərdən keçirin: tam tünel hər prefiks üçün marşrut tələb etmir, bölünmüş tünel daşıdığı hər özəl prefiks üçün bir marşrut tələb edir.

Addım 4: Özəl ad həllini ayrıca sınayın

Özəl adlar öz siyasət yoluna malikdir. Profil NRPT qaydaları və DNS şəkilçi axtarış siyahısı çatdıra bilər və onlar tünel qoşulmuş müddətdə qüvvədədir. Müştərinin həqiqətən aldığını Get-DnsClientNrptPolicy ilə oxuyun, sonra eyni sessiyada adı və ünvanı sınayın. Ünvanlar işləyərkən adların uğursuz olması həllediciyə işarə edir; ikisi də uğursuz olarsa, marşruta.

Ad tünel marşrutlarından kənarda olan ünvana da həll oluna bilər və bu, uğurla fasilənin qarışığını yaradır. Qaytarılan ünvanı qeydinizdəki prefikslə müqayisə edin; fərqlənirlərsə, özəl zona açıq və ya alternativ ünvanla cavab verir və uyğun gələn marşrut dizayn edilən deyil.

Addım 5: Filtrləri, kimliyi və tətbiqin öz qapısını yoxlayın

Trafik filtrləri hansı protokolların və portların cihaz tünelindən istifadə edə biləcəyini məhdudlaşdırır və dar dəst marşrutun daşıyacağı resursu bloklaya bilər. Profil əlaqəni qrupa təyin edir, lakin resursun öz avtorizasiyası var: qoşula bilən istifadəçi fayl serveri tərəfindən avtomatik qəbul edilmir.

İdarə olunan profili sahibi vasitəsilə dəyişin, istər Intune, istər ProfileXML yerləşdirməsi, istərsə əməliyyat skripti, sonra normal yenidən qoşulmadan və yenidən başlatmadan sonra yenidən sınayın: adi nasazlıq köhnəlmiş lokal marşrut və ya bir dəfə tətbiq olunmuş profildir. Profil versiyasını test nəticəsinin yanında saxlayın.