Windows Always On VPN-də cihaz tuneli, yoxsa istifadəçi tuneli?

Giriş ekranından idarəetmə serverinə çatmalı olan noutbuk ilə istifadəçi autentifikasiya olduqdan sonra fayl paylaşımlarına çatmalı olan noutbuk iki fərqli problemdir. Windows bunları iki fərqli tunellə həll edir və fərq onların hansının profil siyahısında görünməsində deyil. Cihaz tuneli maşın kimi, hələ heç kim giriş etməmişdən əvvəl işləyir. İstifadəçi tuneli şəxs kimi, platformanın işləyə biləcəyi bir şəxsiyyəti olduqdan sonra işləyir. Onların arasında seçim trafikin axmalı olduğu andan başlayır, çatmalı olduğu resurslardan deyil.

İki şəxsiyyət, iki an

Cihaz tuneli maşın kontekstində qurulur, buna görə də istifadəçinin autentifikasiyası üçün lazım olan trafiki və ya idarəetmə agentlərinin girişdən əvvəl qeydiyyatdan keçməsini daşıya bilər. İstifadəçi tuneli isə istifadəçi kontekstində, girişdən sonra, istifadəçinin etimadnamələri və həmin hesaba tətbiq olunan siyasətlə qurulur.

Bu vaxt fərqi bütün dizayndır. Qalan hər şey ondan irəli gəlir: hansı autentifikasiya üsullarının mövcud olduğu və hansı resursların məna kəsb etdiyi də.

Tələb giriş etmiş şəxsin istifadə etdiyi biznes tətbiqidirsə, istifadəçi tuneli buna cavab verir. Tələb giriş ekranından əlçatan domen kontrolleri, sertifikat orqanı və ya idarəetmə xidmətidirsə, yalnız cihaz tuneli kifayət qədər erkəndir.

Telefon kitabçası fərq deyil

Doğma profili bütün istifadəçilər üçün telefon kitabçasına yazmaq cihaz tuneli yaratmır. Profil maşındakı hər istifadəçi üçün əlçatan olur, bu saxlama əhatəsi məsələsidir, və o, yenə də istifadəçi kontekstində qoşulur.

Həqiqi cihaz tuneli elə cihaz tuneli kimi konfiqurasiya olunur: Microsoft-un onun üçün sənədləşdirdiyi platforma, protokol və sertifikat tələbləri ilə. Bu tələblərə daxildir onu dəstəkləyən buraxılış, domenə qoşulmuş cihaz, IKEv2 və maşın sertifikatı ilə autentifikasiya. İstifadəçi tunelindən kopyalanıb adı dəyişdirilmiş device adlı profil bunların heç birini ödəmir.

Microsoft-un cihaz tuneli sənədləri profil forması üçün istinaddır və işləyən istifadəçi profilinin yenidən istifadə oluna biləcəyini fərz etməzdən əvvəl oxumağa dəyər.

Hər yolu dar saxlayın

Cihaz tuneli yalnız maşının girişdən əvvəl ehtiyac duyduğu şeylərə çatmalıdır: kataloq, sertifikat orqanı, idarəetmə son nöqtəsi və onları həll edən DNS qeydləri. Onun marşrutları və firewall qaydaları tam korporativ diapazonu deyil, bu qısa siyahını əks etdirməlidir.

İstifadəçi tuneli şəxsin girişini daşıyır və yerləşdirmənin tələbindən asılı olaraq qrup, tətbiq və ya hədəf üzrə məhdudlaşdırıla bilər. İki əhatəni qarışdırmaq, girişdən əvvəlki tunelin heç bir maşın hesabının malik olmamalı olduğu fayl paylaşımı girişini əldə etməsinin yoludur.

Hər iki tunel birlikdə yerləşdirilə bilər və əksər Always On dizaynlarında belədir. Cihaz tuneli əvvəl qalxır və dar qalır. İstifadəçi tuneli giriş zamanı qalxır və iş trafikini daşıyır. Yalnız birini yerləşdirirsinizsə, hansı nasazlıqla yaşaya biləcəyinizə qərar verin. Şəbəkəsiz giriş ekranı və idarəetmə trafikini daşıyan istifadəçi tuneli ikisi də pisdir, amma adətən bunlardan yalnız biri sizin mühitinizdə məqbuldur.

Mərhələni sınayın, brauzeri deyil

Girişdən sonra işləyən brauzer sorğusu istifadəçi tunelini sübut edir və cihaz tuneli haqqında heç nə demir. Mərhələləri ayrıca sınayın: soyuq başlanğıcdan giriş ekranına qədər, girişin özü, istifadəçi bağlantısı və yuxudan və ya şəbəkə dəyişikliyindən sonra bərpa.

Giriş ekranında yoxlama maşının heç bir istifadəçi giriş etmədən idarəetmə son nöqtəsinə çata bilməsidir. Cihaz tunelinin təkbaşına mövcud olduğu yeganə an budur və insanlar bu mərhələni atlayır, çünki onu sınamaq yenidən başlatma tələb edir.

Girişdən sonra istifadəçi tunelini ayrıca yoxlayın, o cümlədən cihaz tunelinin işlək, istifadəçi tunelinin isə uğursuz olduğu halı. İki vəziyyəti olan iki tunel dörd kombinasiya verir və onlardan yalnız biri sağlam görünür.

Uğursuzluq olanda əvvəlcə tunelin adını çəkin

Maşın sertifikatının yenilənməsi və istifadəçi hesabının bərpası fərqli sahibləri olan fərqli işlərdir. Sertifikatın müddəti bitdikdən sonra uğursuz olan cihaz tuneli istifadəçinin etimadnamələrini sıfırlamaqla düzəlməz, parol dəyişikliyindən sonra uğursuz olan istifadəçi tuneli isə maşın sertifikatını yenidən verməklə düzəlməz.

Hansı tunelin aktiv olduğunu, hansı şəxsiyyətdən istifadə etdiyini və hansı mərhələnin uğursuz olduğunu qeyd edin, sonra bunu istifadə olunan buraxılış və idarəetmə mühiti üçün sənədləşdirilmiş tələblərlə müqayisə edin. Köhnə ümumi VPN sehrbazını kopyalamaq, yerləşdirmələrin yalnız administratorlar üçün işləyən cihaz tuneli ilə nəticələnməsinin yoludur.

İş sırası: trafikin axmalı olduğu anı adlandırın, həmin anda mövcud olan tuneli seçin, marşrutlarını daraldın, hər həyat dövrü mərhələsini ayrıca sınayın və iki şəxsiyyətin bərpa prosedurlarını ayrı saxlayın.