Tunelo de aparato aŭ de uzanto en Windows Always On VPN?

Tekkomputilo, kiu devas atingi administran servilon de la ensaluta ekrano, kaj tekkomputilo, kiu devas atingi dosierajn kunigilojn post kiam la uzanto aŭtentikiĝis, estas du malsamaj problemoj. Windows solvas ilin per du malsamaj tuneloj, kaj la diferenco ne estas, kiu el ili aperas en la profillisto. La aparata tunelo funkcias kiel la maŝino, antaŭ ol iu ensalutas. La uzula tunelo funkcias kiel la persono, post kiam la platformo havas identecon kun kiu labori. Elekti inter ili komenciĝas per la momento, kiam la trafiko devas flui, ne per la rimedoj, kiujn ĝi devas atingi.

Du identecoj, du momentoj

La aparata tunelo establiĝas en la maŝina kunteksto, kaj tial ĝi povas porti la trafikon necesan por aŭtentikigi uzanton aŭ por ke administraj agentoj raportu antaŭ la ensaluto. La uzula tunelo establiĝas en la uzanta kunteksto, post la ensaluto, kun la legitimiloj de la uzanto kaj la politiko, kiu aplikiĝas al tiu konto.

Tiu tempa diferenco estas la tuta dezajno. Ĉio alia sekvas el ĝi, inkluzive kiuj aŭtentikigaj metodoj haveblas kaj kiuj rimedoj havas sencon.

Se la postulo estas komerca aplikaĵo uzata de ensalutinta persono, la uzula tunelo respondas al ĝi. Se la postulo estas domajna regilo, atestila aŭtoritato aŭ administra servo atingebla de la ensaluta ekrano, nur la aparata tunelo estas sufiĉe frua.

La telefona libro ne estas la distingo

Konservi denaskan profilon en la telefona libro de ĉiuj uzantoj ne kreas aparatan tunelon. La profilo fariĝas havebla al ĉiu uzanto de la maŝino, kio estas demando pri konserva amplekso, kaj ĝi ankoraŭ konektiĝas en la uzanta kunteksto.

Vera aparata tunelo estas agordata kiel tia, kun la platformaj, protokolaj kaj atestilaj postuloj, kiujn Microsoft dokumentas por ĝi. Tiuj postuloj inkluzivas eldonon, kiu subtenas ĝin, domajnan ligitan aparaton, IKEv2 kaj aŭtentikigon per maŝina atestilo. Profilo nomata device, kopiita el uzula tunelo kaj renomita, plenumas neniun el tiuj.

La dokumentaro de Microsoft pri la aparata tunelo estas la referenco por la formo de la profilo, kaj indas legi ĝin antaŭ ol supozi, ke funkcianta uzula profilo povas esti reuzata.

Tenu ĉiun vojon mallarĝa

La aparata tunelo devus atingi nur tion, kion la maŝino bezonas antaŭ la ensaluto: la dosierujon, la atestilan aŭtoritaton, la administran finpunkton kaj la DNS-rikordojn, kiuj solvas ilin. Ĝiaj vojoj kaj fajroŝirmilaj reguloj devus speguli tiun mallongan liston, ne la plenan entrepran gamon.

La uzula tunelo portas la aliron de la persono kaj povas esti limigita laŭ grupo, aplikaĵo aŭ celo laŭ la bezono de la enkonduko. Miksi la du ampleksojn estas kiel tunelo antaŭ la ensaluto akiras aliron al dosieraj kunigiloj, kiun neniu maŝina konto iam devus havi.

Ambaŭ tuneloj povas esti enkondukitaj kune, kaj en plej multaj Always On-dezajnoj ili estas. La aparata tunelo leviĝas unue kaj restas mallarĝa. La uzula tunelo leviĝas ĉe la ensaluto kaj portas la laboran trafikon. Se vi enkondukas nur unu, decidu, kun kiu fiasko vi povas vivi. Ensaluta ekrano sen reto kaj uzula tunelo portanta administran trafikon estas ambaŭ malbonaj, sed kutime nur unu el ili estas akceptebla en via medio.

Testu la etapon, ne la retumilon

Sukcesa retumila peto post la ensaluto pruvas la uzulan tunelon kaj diras nenion pri la aparata tunelo. Testu la etapojn aparte: malvarma starto ĝis la ensaluta ekrano, la ensaluto mem, la uzanta konekto kaj reakiro post dormo aŭ reta ŝanĝo.

Ĉe la ensaluta ekrano, la kontrolo estas, ĉu la maŝino povas atingi la administran finpunkton sen ensalutinta uzanto. Tio estas la sola momento, kiam la aparata tunelo ekzistas sola, kaj ĝi estas la etapo, kiun homoj preterlasas, ĉar testi ĝin postulas restartigon.

Post la ensaluto, kontrolu la uzulan tunelon aparte, inkluzive la kazon, kiam la aparata tunelo funkcias sed la uzula tunelo fiaskis. Du tuneloj kun du statoj produktas kvar kombinojn, kaj nur unu el ili aspektas sana.

Kiam ĝi fiaskas, unue nomu la tunelon

Renovigo de maŝina atestilo kaj restaŭro de uzanta konto estas malsamaj taskoj kun malsamaj posedantoj. Aparata tunelo, kiu fiaskas post atestilo eksvalidiĝas, ne estos riparita per restarigo de la legitimiloj de la uzanto, kaj uzula tunelo, kiu fiaskas post pasvorta ŝanĝo, ne estos riparita per reeldono de la maŝina atestilo.

Notu, kiu tunelo estis aktiva, kiun identecon ĝi uzis kaj kiu etapo fiaskis, poste komparu tion kun la dokumentitaj postuloj por la eldono kaj la administra medio uzataj. Kopii malnovan ĝeneralan VPN-asistanton estas kiel enkondukoj finiĝas kun aparata tunelo, kiu funkcias nur por administrantoj.

Ordo de laboro: nomu la momenton, kiam la trafiko devas flui, elektu la tunelon, kiu ekzistas en tiu momento, mallarĝigu ĝiajn vojojn, testu ĉiun etapon de la vivociklo aparte, kaj tenu la restaŭrajn procedurojn de la du identecoj apartaj.