Тунел на устройството или тунел на потребителя в Windows Always On VPN?

Лаптоп, който трябва да достигне сървър за управление от екрана за вход, и лаптоп, който трябва да достигне мрежови папки, след като потребителят се удостовери, са два различни проблема. Windows ги решава с два различни тунела и разликата не е в това кой от тях се показва в списъка с профили. Тунелът на устройството работи като машината, преди някой да влезе. Тунелът на потребителя работи като човека, след като платформата има идентичност, с която да работи. Изборът между тях започва с момента, в който трафикът трябва да тече, а не с ресурсите, които трябва да достигне.

Две идентичности, два момента

Тунелът на устройството се установява в контекста на машината, поради което може да носи трафика, необходим за удостоверяване на потребител или за да могат агентите за управление да се отчетат преди вход. Тунелът на потребителя се установява в контекста на потребителя, след вход, с неговите идентификационни данни и правилата, които важат за този акаунт.

Тази разлика във времето е целият дизайн. Всичко останало следва от нея, включително кои методи за удостоверяване са налични и кои ресурси имат смисъл.

Ако изискването е бизнес приложение, използвано от влязъл потребител, тунелът на потребителя го покрива. Ако изискването е контролер на домейн, сертифициращ орган или услуга за управление, достъпна от екрана за вход, достатъчно ранен е само тунелът на устройството.

Телефонният указател не е разликата

Запазването на собствен профил в указателя за всички потребители не създава тунел на устройството. Профилът става достъпен за всеки потребител на машината, което е въпрос на обхват на съхранение, и той все още се свързва в контекста на потребителя.

Истинският тунел на устройството се конфигурира именно като такъв, с изискванията за платформа, протокол и сертификат, които Microsoft документира за него. Тези изисквания включват издание, което го поддържа, устройство, присъединено към домейн, IKEv2 и удостоверяване със сертификат на машината. Профил с име device, копиран от тунел на потребителя и преименуван, не удовлетворява нищо от това.

Документацията на Microsoft за тунела на устройството е ориентирът за формата на профила и си струва да се прочете, преди да се приеме, че работещ потребителски профил може да се използва отново.

Дръжте всеки път тесен

Тунелът на устройството трябва да достига само това, което машината има нужда преди вход: директорията, сертифициращия орган, крайната точка за управление и DNS записите, които ги разрешават. Неговите маршрути и правила за защитна стена трябва да отразяват този кратък списък, а не целия корпоративен диапазон.

Тунелът на потребителя носи достъпа на човека и може да бъде ограничен по група, приложение или дестинация, както изисква внедряването. Смесването на двата обхвата е начинът, по който тунел преди вход се сдобива с достъп до мрежови папки, който никой акаунт на машина не би трябвало да има.

Двата тунела могат да се внедрят заедно и в повечето Always On дизайни това се прави. Тунелът на устройството се вдига пръв и остава тесен. Тунелът на потребителя се вдига при вход и носи работния трафик. Ако внедрите само един, решете с каква повреда можете да живеете. Екран за вход без мрежа и тунел на потребителя, който носи трафик за управление, са и двете лоши, но обикновено само едното от тях е приемливо във вашата среда.

Тествайте етапа, не браузъра

Успешна заявка от браузър след вход доказва тунела на потребителя и не казва нищо за тунела на устройството. Тествайте етапите поотделно: студено стартиране до екрана за вход, самият вход, потребителската връзка и възстановяване след сън или промяна на мрежата.

На екрана за вход проверката е дали машината може да достигне крайната точка за управление без влязъл потребител. Това е единственият момент, в който тунелът на устройството съществува сам, и това е етапът, който хората пропускат, защото тестването му изисква рестартиране.

След вход проверете тунела на потребителя отделно, включително случая, в който тунелът на устройството работи, а тунелът на потребителя е отказал. Два тунела с две състояния дават четири комбинации и само една от тях изглежда здрава.

Когато се провали, първо назовете тунела

Подновяването на сертификата на машината и възстановяването на потребителския акаунт са различни задачи с различни собственици. Тунел на устройството, който се провали след изтичане на сертификат, няма да се поправи с нулиране на идентификационните данни на потребителя, а тунел на потребителя, който се провали след смяна на парола, няма да се поправи с преиздаване на сертификата на машината.

Запишете кой тунел е бил активен, каква идентичност е използвал и кой етап се е провалил, след което сравнете това с документираните изисквания за издание и среда за управление, които се използват. Копирането на стар общ съветник за VPN е начинът, по който внедряванията се сдобиват с тунел на устройството, който работи само за администратори.

Ред на работа: назовете момента, в който трафикът трябва да тече, изберете тунела, който съществува в този момент, стеснете маршрутите му, тествайте всеки етап от жизнения цикъл поотделно и дръжте процедурите за възстановяване на двете идентичности разделени.