Gerätetunnel oder Benutzertunnel in Windows Always On VPN?

Ein Laptop, der vom Anmeldebildschirm aus einen Verwaltungsserver erreichen muss, und ein Laptop, der nach der Benutzerauthentifizierung Dateifreigaben erreichen muss, sind zwei verschiedene Probleme. Windows löst sie mit zwei verschiedenen Tunneln, und der Unterschied liegt nicht darin, welcher in der Profilliste erscheint. Der Gerätetunnel läuft als Maschine, bevor sich jemand anmeldet. Der Benutzertunnel läuft als Person, nachdem die Plattform eine Identität hat, mit der sie arbeiten kann. Die Wahl zwischen beiden beginnt mit dem Zeitpunkt, zu dem der Datenverkehr fließen muss, nicht mit den Ressourcen, die er erreichen soll.

Zwei Identitäten, zwei Zeitpunkte

Der Gerätetunnel wird im Maschinenkontext aufgebaut, weshalb er den Datenverkehr tragen kann, der zur Authentifizierung eines Benutzers nötig ist oder damit Verwaltungsagenten sich vor der Anmeldung melden können. Der Benutzertunnel wird im Benutzerkontext aufgebaut, nach der Anmeldung, mit den Anmeldeinformationen des Benutzers und der Richtlinie, die für dieses Konto gilt.

Dieser zeitliche Unterschied ist das gesamte Design. Alles andere folgt daraus, auch welche Authentifizierungsmethoden verfügbar sind und welche Ressourcen sinnvoll sind.

Ist die Anforderung eine Geschäftsanwendung, die eine angemeldete Person nutzt, beantwortet der Benutzertunnel sie. Ist die Anforderung ein Domänencontroller, eine Zertifizierungsstelle oder ein Verwaltungsdienst, der vom Anmeldebildschirm aus erreichbar ist, ist nur der Gerätetunnel früh genug.

Das Telefonbuch ist nicht der Unterschied

Ein natives Profil im Telefonbuch aller Benutzer zu speichern, erzeugt keinen Gerätetunnel. Das Profil wird jedem Benutzer auf der Maschine verfügbar, was eine Frage des Speicherbereichs ist, und es verbindet weiterhin im Benutzerkontext.

Ein echter Gerätetunnel wird als solcher konfiguriert, mit den Plattform-, Protokoll- und Zertifikatanforderungen, die Microsoft dafür dokumentiert. Zu diesen Anforderungen gehören eine Edition, die ihn unterstützt, ein domänenverbundenes Gerät, IKEv2 und die Authentifizierung per Maschinenzertifikat. Ein Profil namens device, aus einem Benutzertunnel kopiert und umbenannt, erfüllt nichts davon.

Die Microsoft-Dokumentation zum Gerätetunnel ist die Referenz für die Form des Profils, und es lohnt sich, sie zu lesen, bevor man annimmt, ein funktionierendes Benutzerprofil lasse sich wiederverwenden.

Halten Sie jeden Pfad schmal

Der Gerätetunnel sollte nur das erreichen, was die Maschine vor der Anmeldung braucht: das Verzeichnis, die Zertifizierungsstelle, den Verwaltungsendpunkt und die DNS-Einträge, die diese auflösen. Seine Routen und Firewallregeln sollten diese kurze Liste widerspiegeln und nicht den gesamten Unternehmensbereich.

Der Benutzertunnel trägt den Zugriff der Person und kann je nach Einführung nach Gruppe, Anwendung oder Ziel eingegrenzt werden. Das Vermischen beider Bereiche ist der Weg, auf dem ein Tunnel vor der Anmeldung Zugriff auf Dateifreigaben erhält, den kein Maschinenkonto je haben sollte.

Beide Tunnel lassen sich gemeinsam einführen, und in den meisten Always On-Designs geschieht das auch. Der Gerätetunnel kommt zuerst hoch und bleibt schmal. Der Benutzertunnel kommt bei der Anmeldung hoch und trägt den Arbeitsverkehr. Wenn Sie nur einen einführen, entscheiden Sie, mit welchem Fehler Sie leben können. Ein Anmeldebildschirm ohne Netzwerk und ein Benutzertunnel, der Verwaltungsverkehr trägt, sind beides schlecht, aber meist ist nur eines von beidem in Ihrer Umgebung akzeptabel.

Testen Sie die Phase, nicht den Browser

Eine funktionierende Browseranfrage nach der Anmeldung beweist den Benutzertunnel und sagt nichts über den Gerätetunnel. Testen Sie die Phasen getrennt: Kaltstart bis zum Anmeldebildschirm, die Anmeldung selbst, die Benutzerverbindung und die Wiederherstellung nach Ruhezustand oder einem Netzwerkwechsel.

Am Anmeldebildschirm ist die Prüfung, ob die Maschine den Verwaltungsendpunkt ohne angemeldeten Benutzer erreichen kann. Das ist der einzige Moment, in dem der Gerätetunnel für sich allein existiert, und es ist die Phase, die Leute überspringen, weil ihr Test einen Neustart erfordert.

Prüfen Sie nach der Anmeldung den Benutzertunnel getrennt, einschließlich des Falls, dass der Gerätetunnel aktiv ist, der Benutzertunnel aber fehlgeschlagen ist. Zwei Tunnel mit zwei Zuständen ergeben vier Kombinationen, und nur eine davon sieht gesund aus.

Wenn es scheitert, benennen Sie zuerst den Tunnel

Die Erneuerung des Maschinenzertifikats und die Wiederherstellung eines Benutzerkontos sind verschiedene Aufgaben mit verschiedenen Zuständigen. Ein Gerätetunnel, der nach Ablauf eines Zertifikats scheitert, wird nicht durch Zurücksetzen der Benutzeranmeldeinformationen repariert, und ein Benutzertunnel, der nach einer Kennwortänderung scheitert, wird nicht durch Neuausstellung des Maschinenzertifikats repariert.

Halten Sie fest, welcher Tunnel aktiv war, welche Identität er nutzte und welche Phase scheiterte, und vergleichen Sie das mit den dokumentierten Anforderungen für die verwendete Edition und Verwaltungsumgebung. Das Kopieren eines alten allgemeinen VPN-Assistenten ist der Weg, auf dem Einführungen mit einem Gerätetunnel enden, der nur für Administratoren funktioniert.

Reihenfolge der Arbeit: Benennen Sie den Zeitpunkt, zu dem der Datenverkehr fließen muss, wählen Sie den Tunnel, der zu diesem Zeitpunkt existiert, verengen Sie seine Routen, testen Sie jede Phase des Lebenszyklus getrennt und halten Sie die Wiederherstellungsverfahren der beiden Identitäten getrennt.