Túnel de dispositiu o túnel d’usuari a Windows Always On VPN?

Un portàtil que ha d’arribar a un servidor de gestió des de la pantalla d’inici de sessió i un portàtil que ha d’arribar a carpetes compartides després que l’usuari s’autentiqui són dos problemes diferents. Windows els resol amb dos túnels diferents, i la diferència no és quin apareix a la llista de perfils. El túnel de dispositiu s’executa com a màquina, abans que ningú iniciï sessió. El túnel d’usuari s’executa com a persona, després que la plataforma tingui una identitat amb què treballar. Triar entre tots dos comença pel moment en què el trànsit ha de fluir, no pels recursos als quals ha d’arribar.

Dues identitats, dos moments

El túnel de dispositiu s’estableix en el context de màquina, i per això pot portar el trànsit necessari per autenticar un usuari o perquè els agents de gestió es registrin abans de l’inici de sessió. El túnel d’usuari s’estableix en el context d’usuari, després de l’inici de sessió, amb les credencials de l’usuari i la política que s’aplica a aquest compte.

Aquesta diferència de moment és tot el disseny. Tota la resta se’n deriva, incloent-hi quins mètodes d’autenticació estan disponibles i quins recursos tenen sentit.

Si el requisit és una aplicació de negoci que utilitza una persona amb sessió iniciada, el túnel d’usuari hi respon. Si el requisit és un controlador de domini, una autoritat de certificació o un servei de gestió accessible des de la pantalla d’inici de sessió, només el túnel de dispositiu arriba prou aviat.

La llibreta de telèfons no és la distinció

Desar un perfil natiu a la llibreta de tots els usuaris no crea un túnel de dispositiu. El perfil passa a estar disponible per a cada usuari de la màquina, cosa que és una qüestió d’abast d’emmagatzematge, i continua connectant-se en context d’usuari.

Un túnel de dispositiu real es configura com a tal, amb els requisits de plataforma, protocol i certificat que Microsoft documenta per a ell. Aquests requisits inclouen una edició que el suporti, un dispositiu unit al domini, IKEv2 i autenticació amb certificat de màquina. Un perfil anomenat device, copiat d’un túnel d’usuari i canviat de nom, no compleix res d’això.

La documentació de Microsoft sobre el túnel de dispositiu és la referència per a la forma del perfil, i val la pena llegir-la abans de suposar que un perfil d’usuari que funciona es pot reutilitzar.

Manteniu cada camí estret

El túnel de dispositiu hauria d’arribar només al que la màquina necessita abans de l’inici de sessió: el directori, l’autoritat de certificació, el punt de connexió de gestió i els registres DNS que els resolen. Les seves rutes i regles de tallafoc haurien de reflectir aquesta llista curta i no el rang corporatiu complet.

El túnel d’usuari porta l’accés de la persona i es pot limitar per grup, aplicació o destinació segons ho requereixi el desplegament. Barrejar els dos abasts és com un túnel previ a l’inici de sessió acaba tenint accés a carpetes compartides que cap compte de màquina hauria de tenir mai.

Els dos túnels es poden desplegar junts, i en la majoria de dissenys Always On així es fa. El túnel de dispositiu apareix primer i es manté estret. El túnel d’usuari apareix a l’inici de sessió i porta el trànsit de treball. Si només en desplegueu un, decidiu amb quina fallada podeu conviure. Una pantalla d’inici de sessió sense xarxa i un túnel d’usuari que porta trànsit de gestió són tots dos dolents, però normalment només un dels dos és acceptable al vostre entorn.

Proveu l’etapa, no el navegador

Una petició de navegador que funciona després de l’inici de sessió demostra el túnel d’usuari i no diu res del túnel de dispositiu. Proveu les etapes per separat: arrencada en fred fins a la pantalla d’inici de sessió, l’inici de sessió mateix, la connexió d’usuari i la recuperació després de la suspensió o d’un canvi de xarxa.

A la pantalla d’inici de sessió, la comprovació és si la màquina pot arribar al punt de connexió de gestió sense cap usuari amb sessió iniciada. És l’únic moment en què el túnel de dispositiu existeix sol, i és l’etapa que la gent s’estalvia perquè provar-la requereix reiniciar.

Després de l’inici de sessió, comproveu el túnel d’usuari per separat, incloent-hi el cas en què el túnel de dispositiu està actiu però el túnel d’usuari ha fallat. Dos túnels amb dos estats produeixen quatre combinacions, i només una d’elles sembla sana.

Quan falla, anomeneu primer el túnel

La renovació del certificat de màquina i la recuperació del compte d’usuari són tasques diferents amb propietaris diferents. Un túnel de dispositiu que falla després que caduqui un certificat no s’arreglarà restablint les credencials de l’usuari, i un túnel d’usuari que falla després d’un canvi de contrasenya no s’arreglarà reemeten el certificat de màquina.

Anoteu quin túnel era actiu, quina identitat utilitzava i quina etapa va fallar, i compareu-ho amb els requisits documentats per a l’edició i l’entorn de gestió en ús. Copiar un assistent de VPN genèric antic és com els desplegaments acaben amb un túnel de dispositiu que només funciona per als administradors.

Ordre de treball: anomeneu el moment en què el trànsit ha de fluir, trieu el túnel que existeix en aquell moment, estrenyeu-ne les rutes, proveu cada etapa del cicle de vida per separat i manteniu separats els procediments de recuperació de les dues identitats.