Twnnel dyfais neu dwnnel defnyddiwr yn Windows Always On VPN?

Mae gliniadur sydd angen cyrraedd gweinydd rheoli o’r sgrin fewngofnodi a gliniadur sydd angen cyrraedd rhannu ffeiliau ar ôl i’r defnyddiwr ddilysu yn ddau broblem wahanol. Mae Windows yn eu datrys gyda dau dwnnel gwahanol, ac nid y cwestiwn yw pa un sy’n ymddangos yn y rhestr proffiliau. Mae twnnel y ddyfais yn rhedeg fel y peiriant, cyn i unrhyw un fewngofnodi. Mae twnnel y defnyddiwr yn rhedeg fel y person, ar ôl i’r platfform gael hunaniaeth i weithio gyda hi. Mae dewis rhyngddynt yn dechrau gyda’r foment y mae’n rhaid i draffig lifo, nid gyda’r adnoddau y mae’n rhaid ei gyrraedd.

Dwy hunaniaeth, dwy foment

Mae twnnel y ddyfais yn sefydlu yng nghyd-destun y peiriant, a dyna pam y gall gludo’r traffig sydd ei angen i ddilysu defnyddiwr neu i adael i asiantau rheoli nodi eu presenoldeb cyn mewngofnodi. Mae twnnel y defnyddiwr yn sefydlu yng nghyd-destun y defnyddiwr, ar ôl mewngofnodi, gyda chymwysterau’r defnyddiwr a’r polisi sy’n berthnasol i’r cyfrif hwnnw.

Y gwahaniaeth amser hwnnw yw’r dyluniad cyfan. Mae popeth arall yn dilyn ohono, gan gynnwys pa ddulliau dilysu sydd ar gael a pha adnoddau sy’n gwneud synnwyr.

Os mai’r gofyniad yw cymhwysiad busnes a ddefnyddir gan berson sydd wedi mewngofnodi, twnnel y defnyddiwr sy’n ateb. Os mai’r gofyniad yw rheolydd parth, awdurdod tystysgrifau neu wasanaeth rheoli y gellir ei gyrraedd o’r sgrin fewngofnodi, dim ond twnnel y ddyfais sy’n ddigon cynnar.

Nid y llyfr ffôn yw’r gwahaniaeth

Nid yw cadw proffil brodorol yn llyfr ffôn pob defnyddiwr yn creu twnnel dyfais. Mae’r proffil ar gael i bob defnyddiwr ar y peiriant, sy’n gwestiwn o gwmpas storio, ac mae’n dal i gysylltu yng nghyd-destun y defnyddiwr.

Mae twnnel dyfais go iawn yn cael ei ffurfweddu felly, gyda’r gofynion platfform, protocol a thystysgrif y mae Microsoft yn eu dogfennu ar ei gyfer. Mae’r gofynion hynny’n cynnwys argraffiad sy’n ei gefnogi, dyfais sydd wedi’i chysylltu â pharth, IKEv2 a dilysu â thystysgrif peiriant. Nid yw proffil o’r enw device, a gopïwyd o dwnnel defnyddiwr ac a ail-enwyd, yn bodloni dim o hynny.

Mae dogfennaeth Microsoft ar dwnnel y ddyfais yn gyfeirnod ar gyfer siâp y proffil, ac mae’n werth ei darllen cyn tybio y gellir ailddefnyddio proffil defnyddiwr sy’n gweithio.

Cadwch bob llwybr yn gul

Dim ond yr hyn sydd ei angen ar y peiriant cyn mewngofnodi ddylai twnnel y ddyfais ei gyrraedd: y cyfeiriadur, yr awdurdod tystysgrifau, pwynt terfyn rheoli a’r cofnodion DNS sy’n eu datrys. Dylai ei lwybrau a’i reolau wal dân adlewyrchu’r rhestr fer honno yn hytrach na’r amrediad corfforaethol llawn.

Mae twnnel y defnyddiwr yn cludo mynediad y person a gellir ei gyfyngu yn ôl grŵp, cymhwysiad neu gyrchfan fel y bo’r defnydd yn gofyn. Cymysgu’r ddau gwmpas yw sut y mae twnnel cyn mewngofnodi yn cael mynediad at rannu ffeiliau na ddylai unrhyw gyfrif peiriant ei gael byth.

Gellir defnyddio’r ddau dwnnel gyda’i gilydd, ac mewn rhan fwyaf o ddyluniadau Always On felly y gwnaed. Mae twnnel y ddyfais yn codi gyntaf ac yn aros yn gul. Mae twnnel y defnyddiwr yn codi wrth fewngofnodi ac yn cludo’r traffig gwaith. Os mai dim ond un a ddefnyddiwch, penderfynwch pa fethiant y gallwch fyw ag ef. Mae sgrin fewngofnodi heb rwydwaith a thwnnel defnyddiwr sy’n cludo traffig rheoli ill dau yn ddrwg, ond fel arfer dim ond un ohonynt sy’n dderbyniol yn eich amgylchedd.

Profwch y cam, nid y porwr

Mae cais porwr sy’n gweithio ar ôl mewngofnodi yn profi twnnel y defnyddiwr ac yn dweud dim am dwnnel y ddyfais. Profwch y camau ar wahân: cychwyn oer i’r sgrin fewngofnodi, y mewngofnodi ei hun, cysylltiad y defnyddiwr, ac adferiad ar ôl cwsg neu newid rhwydwaith.

Ar y sgrin fewngofnodi, y prawf yw a all y peiriant gyrraedd pwynt terfyn rheoli heb unrhyw ddefnyddiwr wedi mewngofnodi. Dyma’r unig foment y mae twnnel y ddyfais yn bodoli ar ei ben ei hun, a dyma’r cam y mae pobl yn ei hepgor oherwydd bod ei brofi yn gofyn am ailgychwyn.

Ar ôl mewngofnodi, gwiriwch dwnnel y defnyddiwr ar wahân, gan gynnwys yr achos lle mae twnnel y ddyfais i fyny ond mae twnnel y defnyddiwr wedi methu. Mae dau dwnnel â dau gyflwr yn rhoi pedwar cyfuniad, a dim ond un ohonynt sy’n edrych yn iach.

Pan fetha, enwch y twnnel gyntaf

Mae adnewyddu tystysgrif peiriant ac adfer cyfrif defnyddiwr yn dasgau gwahanol gyda pherchnogion gwahanol. Ni fydd twnnel dyfais sy’n methu ar ôl i dystysgrif ddod i ben yn cael ei drwsio trwy ailosod cymwysterau’r defnyddiwr, ac ni fydd twnnel defnyddiwr sy’n methu ar ôl newid cyfrinair yn cael ei drwsio trwy ailgyhoeddi tystysgrif y peiriant.

Cofnodwch pa dwnnel oedd yn weithredol, pa hunaniaeth a ddefnyddiodd a pha gam a fethodd, yna cymharwch hynny â’r gofynion dogfennol ar gyfer yr argraffiad a’r amgylchedd rheoli sy’n cael eu defnyddio. Copïo dewin VPN generig hen yw sut y mae defnyddiau’n gorffen gyda thwnnel dyfais nad yw’n gweithio ond i weinyddwyr.

Trefn y gwaith: enwch y foment y mae’n rhaid i draffig lifo, dewiswch y twnnel sy’n bodoli yn y foment honno, culhewch ei lwybrau, profwch bob cam o’r cylch bywyd ar wahân, a chedwch weithdrefnau adfer y ddwy hunaniaeth ar wahân.