Nid yw Always On VPN yn fynediad i’r LAN: rhestr wirio adnoddau

Ma Always On yn gylch bywyd cysylltiad: mae’r proffil yn cysylltu wrth fewngofnodi neu o’i flaen, ac yn ailgysylltu heb i’r defnyddiwr bwyso dim. Nid yw hynny’n golygu bod pob cyrchfan breifat, protocol a defnyddiwr yn cael eu caniatáu. Y cwestiwn ymarferol yw pa adnoddau mae’r proffil a gyflwynwyd yn eu danfon mewn gwirionedd, ac mae ar yr ateb angen gwiriad fesul adnodd, nid cip ar fathodyn Connected.

Cam 1: Ysgrifennwch yr adnodd cyn ei brofi

Dechreuwch gyda chofnod byr ar gyfer pob ap, wedi’i gymryd o’r amgylchedd go iawn: enw, rhagddodiad cyrchfan, gwasanaeth a phorth, rôl y twnnel, grŵp hunaniaeth a llwybr y datryswr.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Mae’r cofnod yn gorfodi pedair cwestiwn ar wahân. Mae llwybr yn penderfynu i ble mae’r cyfeiriad yn mynd; mae polisi DNS yn penderfynu sut mae’r cleient yn dysgu’r cyfeiriad; mae hidlydd traffig yn penderfynu a gaiff y traffig hwnnw ddefnyddio’r cysylltiad; mae mur cadarn a chaniatadau’r ap yn y gyrchfan yn penderfynu a dderbynnir y cais. Nid oes yr un o’r pedwar yn deillio o dwnnel cysylltiedig.

Cam 2: Penderfynwch pa dwnnel ddylai ei gario

Mae gan Windows Always On VPN dwnnel dyfais a thwnnel defnyddiwr, wedi’u ffurfweddu fel proffiliau ar wahân gyda thystysgrifau a chwmpasau ar wahân. Yn gyffredin, dim ond y seilwaith sydd ei angen cyn mewngofnodi y mae’r twnnel dyfais yn ei gario, fel rheolaeth a gwasanaethau parth; mae mynediad eang y gweithwyr i apiau yn perthyn i’r twnnel defnyddiwr.

Mae hidlwyr traffig yn nodwedd o dwnnel y dyfais, a dyna pam mae enghraifft Microsoft yn eu defnyddio ar gyfer traffig rheolaeth. Mae copïo’r enghraifft honno i broffil adnoddau cyffredinol yn rhoi twnnel sy’n cysylltu ond yn cario’r set anghywir. Cadarnhewch y cysylltiad gweithredol gyda Get-VpnConnection a phrofwch o dan y cysylltiad hwnnw.

Cam 3: Gwirio’r llwybr ar gyfer y cyfeiriad go iawn

Datryswch yr enw unwaith, yna gwiriwch y llwybr: mae Find-NetRoute -RemoteIPAddress 10.20.5.10 yn nodi’r rhyngwyneb a ddewiswyd, y naid nesaf a’r cyfeiriad ffynhonnell. Os mai’r addasydd ffisegol yw’r rhyngwyneb, mae’r rhagddodiad ar goll o set llwybrau’r twnnel neu mae’r cleient wedi’i eithrio trwy dwnnel hollt. Cymharwch â diffiniad y proffil yn lle ychwanegu llwybr lleol.

Gall route add lleol wneud i’r prawf basio a diflannu yn yr adnewyddiad polisi nesaf, felly mae’r newid yn perthyn i’r proffil a reolir. Gwiriwch y rhagddodiad ym mhroffil y defnyddiwr a’r dyfais, a gwiriwch y gosodiad twnnel hollt: nid oes angen llwybr fesul rhagddodiad ar dwnnel llawn, mae twnnel hollt angen un ar gyfer pob rhagddodiad preifat.

Cam 4: Profwch ddatrys enwau preifat ar wahân

Mae enwau preifat yn llwybr polisi eu hunain. Gall y proffil ddanfon rheolau NRPT a rhestr chwilio ôl-ddodiadau DNS, sy’n ddilys tra bo’r twnnel i fyny. Darllenwch gyda Get-DnsClientNrptPolicy beth a gafodd y cleient, yna profwch enw a chyfeiriad yn yr un sesiwn. Enwau’n methu tra bo cyfeiriadau’n gweithio sy’n awgrymu’r datryswr; y ddau’n methu sy’n awgrymu’r llwybr.

Gall enw hefyd ddatrys i gyfeiriad y tu allan i lwybrau’r twnnel, gan gymysgu llwyddiant ag amseru allan. Cymharwch y cyfeiriad a ddychwelwyd â’r rhagddodiad yn eich cofnod; os ydynt yn wahanol, mae’r parth preifat yn ateb â chyfeiriad cyhoeddus neu amgen a llwybr sy’n cyfateb yw’r un a ddyluniwyd.

Cam 5: Gwiriwch hidlwyr, hunaniaeth a giât yr ap ei hun

Mae hidlwyr traffig yn cyfyngu pa brotocolau a phorthladdoedd a gaiff ddefnyddio twnnel y dyfais, a gall set gul rwystro adnodd y byddai’r llwybr yn ei gario. Mae’r proffil yn neilltuo’r cysylltiad i grŵp, ond mae gan yr adnodd ei awdurdodiad ei hun: nid yw defnyddiwr sy’n gallu cysylltu yn cael ei dderbyn yn awtomatig gan y gweinydd ffeiliau.

Newidiwch y proffil a reolir trwy ei berchennog, boed Intune, defnyddiad ProfileXML neu sgript gweithrediadau, yna ailbrofwch ar ôl ailgysylltu arferol ac ar ôl ailgychwyn: y methiant arferol yw llwybr lleol hen neu broffil a gymhwyswyd unwaith. Cadwch fersiwn y proffil wrth ymyl canlyniad y prawf.