Tunel zařízení, nebo tunel uživatele ve Windows Always On VPN?

Notebook, který se z přihlašovací obrazovky potřebuje dostat na server pro správu, a notebook, který po ověření uživatele potřebuje přistupovat k souborovým sdílením, jsou dva různé problémy. Windows je řeší dvěma různými tunely a rozdíl není v tom, který z nich se objeví v seznamu profilů. Tunel zařízení běží jako počítač, ještě než se někdo přihlásí. Tunel uživatele běží jako osoba, poté co platforma získá identitu, se kterou může pracovat. Volba mezi nimi začíná okamžikem, kdy musí provoz proudit, ne prostředky, ke kterým se musí dostat.

Dvě identity, dva okamžiky

Tunel zařízení se navazuje v kontextu počítače, a proto může přenášet provoz potřebný k ověření uživatele nebo k tomu, aby se agenti správy přihlásili ještě před přihlášením. Tunel uživatele se navazuje v kontextu uživatele, po přihlášení, s uživatelskými pověřeními a zásadami, které se na tento účet vztahují.

Tento časový rozdíl je celý návrh. Vše ostatní z něj vyplývá, včetně toho, které metody ověřování jsou k dispozici a které prostředky mají smysl.

Pokud je požadavkem podniková aplikace, kterou používá přihlášená osoba, odpovídá na něj tunel uživatele. Pokud je požadavkem řadič domény, certifikační autorita nebo služba správy dostupná z přihlašovací obrazovky, je dostatečně brzy jen tunel zařízení.

Telefonní seznam není ten rozdíl

Uložení nativního profilu do telefonního seznamu všech uživatelů tunel zařízení nevytvoří. Profil se zpřístupní každému uživateli na počítači, což je otázka rozsahu úložiště, a stále se připojuje v kontextu uživatele.

Skutečný tunel zařízení se konfiguruje právě jako takový, s požadavky na platformu, protokol a certifikát, které pro něj Microsoft dokumentuje. Tyto požadavky zahrnují vydání, které jej podporuje, počítač připojený k doméně, IKEv2 a ověřování certifikátem počítače. Profil nazvaný device, zkopírovaný z tunelu uživatele a přejmenovaný, nesplňuje nic z toho.

Dokumentace Microsoftu k tunelu zařízení je referencí pro podobu profilu a stojí za přečtení dřív, než předpokládáte, že funkční uživatelský profil lze znovu použít.

Držte každou cestu úzkou

Tunel zařízení by měl dosáhnout jen na to, co počítač potřebuje před přihlášením: adresář, certifikační autoritu, koncový bod správy a záznamy DNS, které je překládají. Jeho trasy a pravidla firewallu by měly odrážet tento krátký seznam, ne celý podnikový rozsah.

Tunel uživatele nese přístup osoby a lze jej omezit skupinou, aplikací nebo cílem podle požadavků nasazení. Míchání obou rozsahů je způsob, jakým tunel před přihlášením získá přístup k souborovým sdílením, který by neměl mít žádný účet počítače.

Oba tunely lze nasadit společně a ve většině návrhů Always On se to tak dělá. Tunel zařízení naskočí první a zůstává úzký. Tunel uživatele naskočí při přihlášení a nese pracovní provoz. Pokud nasadíte jen jeden, rozhodněte, se kterou poruchou dokážete žít. Přihlašovací obrazovka bez sítě a tunel uživatele přenášející provoz správy jsou obojí špatné, ale obvykle je ve vašem prostředí přijatelná jen jedna z nich.

Testujte fázi, ne prohlížeč

Fungující požadavek prohlížeče po přihlášení prokazuje tunel uživatele a o tunelu zařízení neříká nic. Testujte fáze zvlášť: studený start k přihlašovací obrazovce, samotné přihlášení, uživatelské připojení a obnovu po spánku nebo změně sítě.

Na přihlašovací obrazovce je kontrolou to, zda se počítač dostane na koncový bod správy bez přihlášeného uživatele. To je jediný okamžik, kdy tunel zařízení existuje sám, a je to fáze, kterou lidé přeskakují, protože její testování vyžaduje restart.

Po přihlášení zkontrolujte tunel uživatele zvlášť, včetně případu, kdy tunel zařízení běží, ale tunel uživatele selhal. Dva tunely se dvěma stavy dávají čtyři kombinace a jen jedna z nich vypadá zdravě.

Když to selže, pojmenujte nejdřív tunel

Obnova certifikátu počítače a obnova uživatelského účtu jsou různé úkoly s různými vlastníky. Tunel zařízení, který selže po vypršení platnosti certifikátu, se nespraví resetováním pověření uživatele, a tunel uživatele, který selže po změně hesla, se nespraví opětovným vydáním certifikátu počítače.

Zaznamenejte, který tunel byl aktivní, jakou identitu použil a která fáze selhala, a potom to porovnejte s dokumentovanými požadavky na používané vydání a prostředí správy. Kopírování starého obecného průvodce VPN je způsob, jakým nasazení skončí s tunelem zařízení, který funguje jen pro administrátory.

Pořadí práce: pojmenujte okamžik, kdy musí provoz proudit, vyberte tunel, který v tom okamžiku existuje, zúžte jeho trasy, otestujte každou fázi životního cyklu zvlášť a držte postupy obnovy obou identit oddělené.