Τούνελ συσκευής ή τούνελ χρήστη στο Windows Always On VPN;

Ένας φορητός υπολογιστής που πρέπει να φτάσει σε διακομιστή διαχείρισης από την οθόνη σύνδεσης και ένας φορητός υπολογιστής που πρέπει να φτάσει σε κοινόχρηστους φακέλους αφού πιστοποιηθεί ο χρήστης είναι δύο διαφορετικά προβλήματα. Το Windows τα λύνει με δύο διαφορετικά τούνελ, και η διαφορά δεν είναι ποιο από αυτά εμφανίζεται στη λίστα προφίλ. Το τούνελ συσκευής τρέχει ως μηχανή, πριν συνδεθεί οποιοσδήποτε. Το τούνελ χρήστη τρέχει ως πρόσωπο, αφού η πλατφόρμα αποκτήσει ταυτότητα με την οποία μπορεί να εργαστεί. Η επιλογή ανάμεσά τους ξεκινά από τη στιγμή κατά την οποία πρέπει να ρεύσει η κίνηση, όχι από τους πόρους που πρέπει να φτάσει.

Δύο ταυτότητες, δύο στιγμές

Το τούνελ συσκευής εγκαθίσταται στο περιβάλλον της μηχανής, γι’ αυτό μπορεί να μεταφέρει την κίνηση που χρειάζεται για την πιστοποίηση χρήστη ή για να δηλωθούν οι πράκτορες διαχείρισης πριν από τη σύνδεση. Το τούνελ χρήστη εγκαθίσταται στο περιβάλλον του χρήστη, μετά τη σύνδεση, με τα διαπιστευτήρια του χρήστη και την πολιτική που ισχύει για αυτόν τον λογαριασμό.

Αυτή η χρονική διαφορά είναι όλο το σχέδιο. Όλα τα άλλα απορρέουν από αυτήν, συμπεριλαμβανομένου του ποιες μέθοδοι πιστοποίησης είναι διαθέσιμες και ποιοι πόροι έχουν νόημα.

Αν η απαίτηση είναι μια επιχειρηματική εφαρμογή που χρησιμοποιεί συνδεδεμένο πρόσωπο, απαντά το τούνελ χρήστη. Αν η απαίτηση είναι ελεγκτής τομέα, αρχή έκδοσης πιστοποιητικών ή υπηρεσία διαχείρισης προσβάσιμη από την οθόνη σύνδεσης, μόνο το τούνελ συσκευής είναι αρκετά νωρίς.

Ο τηλεφωνικός κατάλογος δεν είναι η διάκριση

Η αποθήκευση ενός εγγενούς προφίλ στον τηλεφωνικό κατάλογο όλων των χρηστών δεν δημιουργεί τούνελ συσκευής. Το προφίλ γίνεται διαθέσιμο σε κάθε χρήστη της μηχανής, που είναι ζήτημα εύρους αποθήκευσης, και εξακολουθεί να συνδέεται στο περιβάλλον του χρήστη.

Ένα πραγματικό τούνελ συσκευής ρυθμίζεται ως τέτοιο, με τις απαιτήσεις πλατφόρμας, πρωτοκόλλου και πιστοποιητικού που τεκμηριώνει η Microsoft γι’ αυτό. Στις απαιτήσεις αυτές περιλαμβάνονται μια έκδοση που το υποστηρίζει, μια συσκευή ενωμένη σε τομέα, το IKEv2 και η πιστοποίηση με πιστοποιητικό μηχανής. Ένα προφίλ με όνομα device, αντιγραμμένο από τούνελ χρήστη και μετονομασμένο, δεν πληροί τίποτα από αυτά.

Η τεκμηρίωση της Microsoft για το τούνελ συσκευής είναι η αναφορά για τη μορφή του προφίλ, και αξίζει να διαβαστεί πριν υποθέσετε ότι ένα λειτουργικό προφίλ χρήστη μπορεί να επαναχρησιμοποιηθεί.

Κρατήστε κάθε διαδρομή στενή

Το τούνελ συσκευής πρέπει να φτάνει μόνο σε ό,τι χρειάζεται η μηχανή πριν από τη σύνδεση: τον κατάλογο, την αρχή έκδοσης πιστοποιητικών, το τελικό σημείο διαχείρισης και τις εγγραφές DNS που τα επιλύουν. Οι διαδρομές και οι κανόνες τείχους προστασίας του πρέπει να αντικατοπτρίζουν αυτή τη σύντομη λίστα και όχι ολόκληρο το εταιρικό εύρος.

Το τούνελ χρήστη μεταφέρει την πρόσβαση του προσώπου και μπορεί να περιοριστεί ανά ομάδα, εφαρμογή ή προορισμό όπως απαιτεί η ανάπτυξη. Η ανάμειξη των δύο ευρών είναι ο τρόπος με τον οποίο ένα τούνελ πριν από τη σύνδεση αποκτά πρόσβαση σε κοινόχρηστους φακέλους που κανένας λογαριασμός μηχανής δεν θα έπρεπε ποτέ να έχει.

Και τα δύο τούνελ μπορούν να αναπτυχθούν μαζί, και στα περισσότερα σχέδια Always On αυτό γίνεται. Το τούνελ συσκευής ανεβαίνει πρώτο και παραμένει στενό. Το τούνελ χρήστη ανεβαίνει κατά τη σύνδεση και μεταφέρει την κίνηση εργασίας. Αν αναπτύξετε μόνο ένα, αποφασίστε με ποια αποτυχία μπορείτε να ζήσετε. Μια οθόνη σύνδεσης χωρίς δίκτυο και ένα τούνελ χρήστη που μεταφέρει κίνηση διαχείρισης είναι και τα δύο κακά, αλλά συνήθως μόνο ένα από τα δύο είναι αποδεκτό στο περιβάλλον σας.

Δοκιμάστε το στάδιο, όχι το πρόγραμμα περιήγησης

Ένα επιτυχές αίτημα προγράμματος περιήγησης μετά τη σύνδεση αποδεικνύει το τούνελ χρήστη και δεν λέει τίποτα για το τούνελ συσκευής. Δοκιμάστε τα στάδια ξεχωριστά: ψυχρή εκκίνηση έως την οθόνη σύνδεσης, την ίδια τη σύνδεση, τη σύνδεση του χρήστη και την ανάκτηση μετά από αναστολή ή αλλαγή δικτύου.

Στην οθόνη σύνδεσης, ο έλεγχος είναι αν η μηχανή μπορεί να φτάσει στο τελικό σημείο διαχείρισης χωρίς συνδεδεμένο χρήστη. Είναι η μόνη στιγμή που το τούνελ συσκευής υπάρχει μόνο του, και είναι το στάδιο που οι άνθρωποι παραλείπουν επειδή η δοκιμή του απαιτεί επανεκκίνηση.

Μετά τη σύνδεση, ελέγξτε το τούνελ χρήστη ξεχωριστά, συμπεριλαμβανομένης της περίπτωσης όπου το τούνελ συσκευής είναι ενεργό αλλά το τούνελ χρήστη απέτυχε. Δύο τούνελ με δύο καταστάσεις δίνουν τέσσερις συνδυασμούς, και μόνο ένας από αυτούς φαίνεται υγιής.

Όταν αποτύχει, ονομάστε πρώτα το τούνελ

Η ανανέωση του πιστοποιητικού μηχανής και η ανάκτηση του λογαριασμού χρήστη είναι διαφορετικές εργασίες με διαφορετικούς ιδιοκτήτες. Ένα τούνελ συσκευής που αποτυγχάνει μετά τη λήξη ενός πιστοποιητικού δεν θα διορθωθεί με επαναφορά των διαπιστευτηρίων του χρήστη, και ένα τούνελ χρήστη που αποτυγχάνει μετά από αλλαγή κωδικού πρόσβασης δεν θα διορθωθεί με επανέκδοση του πιστοποιητικού μηχανής.

Καταγράψτε ποιο τούνελ ήταν ενεργό, ποια ταυτότητα χρησιμοποίησε και ποιο στάδιο απέτυχε, και μετά συγκρίνετε το με τις τεκμηριωμένες απαιτήσεις για την έκδοση και το περιβάλλον διαχείρισης που χρησιμοποιείται. Η αντιγραφή ενός παλιού γενικού οδηγού VPN είναι ο τρόπος με τον οποίο οι αναπτύξεις καταλήγουν με ένα τούνελ συσκευής που λειτουργεί μόνο για διαχειριστές.

Σειρά εργασίας: ονομάστε τη στιγμή κατά την οποία πρέπει να ρεύσει η κίνηση, επιλέξτε το τούνελ που υπάρχει εκείνη τη στιγμή, στενέψτε τις διαδρομές του, δοκιμάστε κάθε στάδιο του κύκλου ζωής ξεχωριστά και κρατήστε τις διαδικασίες ανάκτησης των δύο ταυτοτήτων χωριστά.