Тунэль прылады ці тунэль карыстальніка ў Windows Always On VPN?

Ноўтбук, якому трэба дасягнуць сервера кіравання з экрана ўваходу, і ноўтбук, якому трэба дасягнуць сеткавых папак пасля аўтэнтыфікацыі карыстальніка, — дзве розныя праблемы. Windows вырашае іх двума рознымі тунэлямі, і розніца не ў тым, які з іх паказваецца ў спісе профіляў. Тунэль прылады працуе як машына, да таго як хто-небудзь увойдзе ў сістэму. Тунэль карыстальніка працуе як чалавек, пасля таго як платформа атрымае ідэнтычнасць, з якой можна працаваць. Выбар паміж імі пачынаецца з моманту, калі трафік павінен ісці, а не з рэсурсаў, якіх ён павінен дасягнуць.

Дзве ідэнтычнасці, два моманты

Тунэль прылады ўстанаўліваецца ў кантэксце машыны, таму ён можа пераносіць трафік, неабходны для аўтэнтыфікацыі карыстальніка або для таго, каб агенты кіравання маглі адзначыцца да ўваходу. Тунэль карыстальніка ўстанаўліваецца ў кантэксце карыстальніка, пасля ўваходу, з уліковымі данымі карыстальніка і палітыкай, якая ўжываецца да гэтага ўліковага запісу.

Гэтая розніца ў часе — і ёсць увесь дызайн. Усё астатняе вынікае з яе, уключаючы тое, якія метады аўтэнтыфікацыі даступныя і якія рэсурсы маюць сэнс.

Калі патрабаваннем з’яўляецца бізнес-праграма, якой карыстаецца ўвайшоўшы чалавек, адказвае тунэль карыстальніка. Калі патрабаваннем з’яўляецца кантролер дамена, цэнтр сертыфікацыі або служба кіравання, дасяжная з экрана ўваходу, то толькі тунэль прылады дастаткова ранні.

Тэлефонная кніга — не адрозненне

Захаванне роднага профілю ў тэлефонную кнігу ўсіх карыстальнікаў не стварае тунэль прылады. Профіль становіцца даступным кожнаму карыстальніку на машыне, што з’яўляецца пытаннем абсягу захоўвання, і ён усё роўна падключаецца ў кантэксце карыстальніка.

Сапраўдны тунэль прылады наладжваецца менавіта як такі, з патрабаваннямі да платформы, пратаколу і сертыфіката, якія Microsoft дакументуе для яго. Гэтыя патрабаванні ўключаюць выданне, якое яго падтрымлівае, прыладу, далучаную да дамена, IKEv2 і аўтэнтыфікацыю сертыфікатам машыны. Профіль з іменем device, скапіяваны з тунэля карыстальніка і перайменаваны, не задавальняе нічога з гэтага.

Дакументацыя Microsoft пра тунэль прылады — гэта даведка па форме профілю, і яе варта прачытаць, перш чым меркаваць, што працоўны профіль карыстальніка можна выкарыстаць паўторна.

Трымайце кожны шлях вузкім

Тунэль прылады павінен дасягаць толькі таго, што машыне патрэбна да ўваходу: каталога, цэнтра сертыфікацыі, канцавой кропкі кіравання і запісаў DNS, якія іх развязваюць. Яго маршруты і правілы брандмаўэра павінны адлюстроўваць гэты кароткі спіс, а не поўны карпаратыўны дыяпазон.

Тунэль карыстальніка пераносіць доступ чалавека і можа быць абмежаваны групай, праграмай або прызначэннем, як патрабуе разгортванне. Змешванне двух абсягаў — гэта як тунэль, які працуе да ўваходу, атрымлівае доступ да сеткавых папак, якога не павінен мець ні адзін уліковы запіс машыны.

Абодва тунэлі можна разгортваць разам, і ў большасці архітэктур Always On яны так і робяцца. Тунэль прылады ўздымаецца першым і застаецца вузкім. Тунэль карыстальніка ўздымаецца пры ўваходзе і пераносіць рабочы трафік. Калі вы разгортваеце толькі адзін, вырашыце, з якой адмовай вы можаце жыць. Экран уваходу без сеткі і тунэль карыстальніка, які пераносіць трафік кіравання, — абодва дрэнныя, але звычайна толькі адзін з іх прымальны ў вашым асяроддзі.

Тэстуйце этап, а не браўзер

Паспяховы запыт браўзера пасля ўваходу даказвае тунэль карыстальніка і нічога не кажа пра тунэль прылады. Тэстуйце этапы асобна: халодны запуск да экрана ўваходу, сам уваход, злучэнне карыстальніка і аднаўленне пасля сну або змены сеткі.

На экране ўваходу праверка ў тым, ці можа машына дасягнуць канцавой кропкі кіравання без увайшоўшага карыстальніка. Гэта адзіны момант, калі тунэль прылады існуе сам па сабе, і гэта этап, які людзі прапускаюць, бо для яго праверкі патрэбна перазагрузка.

Пасля ўваходу праверце тунэль карыстальніка асобна, уключаючы выпадак, калі тунэль прылады працуе, а тунэль карыстальніка не. Два тунэлі з двума станамі даюць чатыры камбінацыі, і толькі адна з іх выглядае здаровай.

Калі не атрымліваецца, спачатку назвіце тунэль

Абнаўленне сертыфіката машыны і аднаўленне ўліковага запісу карыстальніка — розныя задачы з рознымі ўладальнікамі. Тунэль прылады, які перастае працаваць пасля заканчэння тэрміну сертыфіката, не выправіцца скіданнем уліковых даных карыстальніка, а тунэль карыстальніка, які перастае працаваць пасля змены пароля, не выправіцца перавыдачай сертыфіката машыны.

Запішыце, які тунэль быў актыўны, якую ідэнтычнасць ён выкарыстаў і які этап не атрымаўся, затым параўнайце гэта з дакументаванымі патрабаваннямі для выдання і асяроддзя кіравання, якія выкарыстоўваюцца. Капіраванне старога агульнага майстра VPN — гэта як разгортванні атрымліваюць тунэль прылады, які працуе толькі для адміністратараў.

Парадак працы: назвіце момант, калі павінен ісці трафік, выберыце тунэль, які існуе ў гэты момант, звузьце яго маршруты, праверце кожны этап жыццёвага цыкла асобна і трымайце працэдуры аднаўлення дзвюх ідэнтычнасцей асобна.