Enhedstunnel eller brugertunnel i Windows Always On VPN?

En bærbar computer, der skal nå en administrationsserver fra logon-skærmen, og en bærbar computer, der skal nå filshare efter brugerens godkendelse, er to forskellige problemer. Windows løser dem med to forskellige tunneller, og forskellen er ikke, hvilken der vises på profillisten. Enhedstunnellen kører som maskinen, før nogen logger på. Brugertunnellen kører som personen, efter at platformen har en identitet at arbejde med. Valget mellem dem begynder med det øjeblik, hvor trafikken skal flyde, ikke med de ressourcer, den skal nå.

To identiteter, to øjeblikke

Enhedstunnellen oprettes i maskinkontekst, og derfor kan den bære den trafik, der er nødvendig for at godkende en bruger, eller for at lade administrationsagenter melde sig inden logon. Brugertunnellen oprettes i brugerkontekst, efter logon, med brugerens legitimationsoplysninger og den politik, der gælder for den konto.

Den tidsforskel er hele designet. Alt andet følger af den, herunder hvilke godkendelsesmetoder der er tilgængelige, og hvilke ressourcer der giver mening.

Hvis kravet er en forretningsapplikation, som en pålogget person bruger, besvarer brugertunnellen det. Hvis kravet er en domænecontroller, en certifikatmyndighed eller en administrationstjeneste, der kan nås fra logon-skærmen, er kun enhedstunnellen tidlig nok.

Telefonbogen er ikke forskellen

At gemme en oprindelig profil i telefonbogen for alle brugere skaber ikke en enhedstunnel. Profilen bliver tilgængelig for alle brugere på maskinen, hvilket er et spørgsmål om lageromfang, og den opretter stadig forbindelse i brugerkontekst.

En rigtig enhedstunnel konfigureres som netop det, med de platform-, protokol- og certifikatkrav, som Microsoft dokumenterer for den. Kravene omfatter en udgave, der understøtter den, en domænetilsluttet enhed, IKEv2 og godkendelse med maskincertifikat. En profil med navnet device, kopieret fra en brugertunnel og omdøbt, opfylder intet af det.

Microsofts dokumentation om enhedstunnellen er reference for profilens form, og den er værd at læse, før du antager, at en fungerende brugerprofil kan genbruges.

Hold hver vej smal

Enhedstunnellen bør kun nå det, maskinen har brug for før logon: kataloget, certifikatmyndigheden, administrationsendepunktet og de DNS-poster, der opløser dem. Dens ruter og firewallregler bør afspejle den korte liste frem for hele virksomhedens område.

Brugertunnellen bærer personens adgang og kan begrænses efter gruppe, applikation eller destination, som udrulningen kræver. At blande de to omfang er måden, hvorpå en tunnel før logon ender med filshare-adgang, som ingen maskinkonto nogensinde bør have.

Begge tunneller kan udrulles sammen, og i de fleste Always On-design er det tilfældet. Enhedstunnellen kommer op først og forbliver smal. Brugertunnellen kommer op ved logon og bærer arbejdstrafikken. Hvis du kun udruller én, så beslut, hvilken fejl du kan leve med. En logon-skærm uden netværk og en brugertunnel, der bærer administrationstrafik, er begge dårlige, men kun én af dem er normalt acceptabel i dit miljø.

Test fasen, ikke browseren

En fungerende browseranmodning efter logon beviser brugertunnellen og siger intet om enhedstunnellen. Test faserne separat: koldstart til logon-skærmen, selve logon, brugerforbindelsen og gendannelse efter dvale eller et netværksskift.

På logon-skærmen er kontrollen, om maskinen kan nå administrationsendepunktet uden nogen pålogget bruger. Det er det eneste øjeblik, hvor enhedstunnellen findes alene, og det er den fase, folk springer over, fordi test af den kræver en genstart.

Efter logon skal du kontrollere brugertunnellen separat, herunder det tilfælde, hvor enhedstunnellen er oppe, men brugertunnellen mislykkedes. To tunneller med to tilstande giver fire kombinationer, og kun én af dem ser sund ud.

Når det fejler, navngiv først tunnellen

Fornyelse af maskincertifikat og gendannelse af brugerkonto er forskellige opgaver med forskellige ejere. En enhedstunnel, der fejler efter et certifikat er udløbet, bliver ikke rettet ved at nulstille brugerens legitimationsoplysninger, og en brugertunnel, der fejler efter en adgangskodeændring, bliver ikke rettet ved at genudstede maskincertifikatet.

Notér, hvilken tunnel der var aktiv, hvilken identitet den brugte, og hvilken fase der fejlede, og sammenlign det med de dokumenterede krav til den udgave og det administrationsmiljø, der anvendes. At kopiere en gammel generisk VPN-guide er måden, hvorpå udrulninger ender med en enhedstunnel, der kun virker for administratorer.

Arbejdsrækkefølge: navngiv det øjeblik, trafikken skal flyde, vælg den tunnel, der findes i det øjeblik, indsnævr dens ruter, test hver livscyklusfase separat, og hold de to identiteters gendannelsesprocedurer adskilt.