Το Always On VPN δεν είναι πρόσβαση στο LAN: λίστα ελέγχου πόρων

Το Always On είναι κύκλος ζωής σύνδεσης: το προφίλ συνδέεται κατά ή πριν τη σύνδεση χρήστη και επανασυνδέεται χωρίς να πατήσει τίποτα ο χρήστης. Αυτό δεν σημαίνει ότι επιτρέπονται κάθε ιδιωτικός προορισμός, πρωτόκολλο και χρήστης. Το πρακτικό ερώτημα είναι ποιους πόρους παραδίδει πραγματικά το αναπτυγμένο προφίλ, και η απάντηση απαιτεί έλεγχο ανά πόρο, όχι μια ματιά στο σήμα Connected.

Βήμα 1: Καταγράψτε τον πόρο πριν τον δοκιμάσετε

Ξεκινήστε με μια σύντομη εγγραφή ανά εφαρμογή, παρμένη από το πραγματικό περιβάλλον: όνομα, πρόθεμα προορισμού, υπηρεσία και θύρα, ρόλος σήραγγας, ομάδα ταυτότητας και διαδρομή επιλυτή.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Η εγγραφή επιβάλλει τέσσερα ξεχωριστά ερωτήματα. Η διαδρομή αποφασίζει πού πηγαίνει η διεύθυνση· η πολιτική DNS αποφασίζει πώς ο πελάτης μαθαίνει τη διεύθυνση· το φίλτρο κίνησης αποφασίζει αν η κίνηση αυτή μπορεί να χρησιμοποιήσει τη σύνδεση· το τείχος προστασίας και τα δικαιώματα της εφαρμογής προορισμού αποφασίζουν αν το αίτημα γίνεται δεκτό. Κανένα από τα τέσσερα δεν προκύπτει από συνδεδεμένη σήραγγα.

Βήμα 2: Καθορίστε ποια σήραγγα πρέπει να το μεταφέρει

Το Windows Always On VPN έχει σήραγγα συσκευής και σήραγγα χρήστη, που ρυθμίζονται ως ξεχωριστά προφίλ με ξεχωριστά πιστοποιητικά και πεδία. Η σήραγγα συσκευής συνήθως μεταφέρει μόνο την υποδομή που χρειάζεται πριν τη σύνδεση, όπως διαχείριση και υπηρεσίες τομέα· η ευρεία πρόσβαση εφαρμογών για το προσωπικό ανήκει στη σήραγγα χρήστη.

Τα φίλτρα κίνησης είναι λειτουργία της σήραγγας συσκευής, γι αυτό το παράδειγμα της Microsoft τα χρησιμοποιεί για κίνηση διαχείρισης. Αν αντιγράψετε αυτό το παράδειγμα σε γενικό προφίλ πόρων, παίρνετε σήραγγα που συνδέεται αλλά μεταφέρει λάθος σύνολο. Επιβεβαιώστε την ενεργή σύνδεση με Get-VpnConnection και δοκιμάστε κάτω από αυτή.

Βήμα 3: Επαληθεύστε τη διαδρομή για την πραγματική διεύθυνση

Επιλύστε το όνομα μία φορά και μετά ελέγξτε τη διαδρομή: το Find-NetRoute -RemoteIPAddress 10.20.5.10 δείχνει τη διεπαφή που επιλέχθηκε, το επόμενο άλμα και τη διεύθυνση προέλευσης. Αν η διεπαφή είναι ο φυσικός προσαρμογέας, το πρόθεμα λείπει από το σύνολο διαδρομών της σήραγγας ή ο πελάτης το απέκλεισε με διαχωρισμένη σήραγγα. Συγκρίνετε με τον ορισμό του προφίλ αντί να προσθέσετε τοπική διαδρομή.

Μια τοπική route add μπορεί να περάσει τη δοκιμή και να εξαφανιστεί στην επόμενη ανανέωση πολιτικής, γι αυτό η αλλαγή ανήκει στο διαχειριζόμενο προφίλ. Ελέγξτε το πρόθεμα και στο προφίλ χρήστη και στο προφίλ συσκευής, και ελέγξτε τη ρύθμιση διαχωρισμένης σήραγγας: η πλήρης σήραγγα δεν χρειάζεται διαδρομή ανά πρόθεμα, η διαχωρισμένη χρειάζεται μία για κάθε ιδιωτικό πρόθεμα.

Βήμα 4: Δοκιμάστε ξεχωριστά την επίλυση ιδιωτικών ονομάτων

Τα ιδιωτικά ονόματα έχουν δική τους διαδρομή πολιτικής. Το προφίλ μπορεί να παραδώσει κανόνες NRPT και λίστα αναζήτησης καταλήξεων DNS, που ισχύουν όσο η σήραγγα είναι ενεργή. Διαβάστε με το Get-DnsClientNrptPolicy τι έλαβε πραγματικά ο πελάτης και δοκιμάστε όνομα και διεύθυνση στην ίδια συνεδρία. Αν αποτυγχάνουν τα ονόματα ενώ οι διευθύνσεις δουλεύουν, φταίει ο επιλυτής· αν και τα δύο, η διαδρομή.

Ένα όνομα μπορεί να επιλυθεί και σε διεύθυνση εκτός των διαδρομών της σήραγγας, κάτι που αναμειγνύει επιτυχία και λήξη χρόνου. Συγκρίνετε τη διεύθυνση που επιστράφηκε με το πρόθεμα της εγγραφής σας· αν διαφέρουν, η ιδιωτική ζώνη απαντά με δημόσια ή εναλλακτική διεύθυνση και η διαδρομή που ταίριαξε δεν είναι η σχεδιασμένη.

Βήμα 5: Ελέγξτε φίλτρα, ταυτότητα και την πύλη της ίδιας της εφαρμογής

Τα φίλτρα κίνησης περιορίζουν ποια πρωτόκολλα και θύρες μπορούν να χρησιμοποιούν τη σήραγγα συσκευής, και ένα στενό σύνολο μπορεί να μπλοκάρει πόρο που η διαδρομή θα μετέφερε. Το προφίλ αναθέτει τη σύνδεση σε ομάδα, αλλά ο πόρος έχει δική του εξουσιοδότηση: χρήστης που μπορεί να συνδεθεί δεν γίνεται αυτόματα δεκτός από τον διακομιστή αρχείων.

Αλλάξτε το διαχειριζόμενο προφίλ μέσω του ιδιοκτήτη του, είτε είναι το Intune, μια ανάπτυξη ProfileXML ή σενάριο λειτουργιών, και μετά δοκιμάστε ξανά μετά από κανονική επανασύνδεση και μετά από επανεκκίνηση: η συνήθης αποτυχία είναι παλιά τοπική διαδρομή ή προφίλ που εφαρμόστηκε μία φορά. Κρατήστε την έκδοση του προφίλ δίπλα στο αποτέλεσμα της δοκιμής.