¿Túnel de dispositivo o túnel de usuario en Windows Always On VPN?

Un portátil que debe llegar a un servidor de administración desde la pantalla de inicio de sesión y un portátil que debe llegar a recursos compartidos después de que el usuario se autentique son dos problemas distintos. Windows los resuelve con dos túneles diferentes, y la diferencia no es cuál aparece en la lista de perfiles. El túnel de dispositivo se ejecuta como la máquina, antes de que nadie inicie sesión. El túnel de usuario se ejecuta como la persona, después de que la plataforma tenga una identidad con la que trabajar. Elegir entre ambos empieza por el momento en que el tráfico debe fluir, no por los recursos a los que debe llegar.

Dos identidades, dos momentos

El túnel de dispositivo se establece en el contexto de máquina, por eso puede transportar el tráfico necesario para autenticar a un usuario o para que los agentes de administración se registren antes del inicio de sesión. El túnel de usuario se establece en el contexto de usuario, después del inicio de sesión, con las credenciales del usuario y la directiva que se aplica a esa cuenta.

Esa diferencia temporal es todo el diseño. Todo lo demás se deriva de ella, incluidos los métodos de autenticación disponibles y los recursos que tienen sentido.

Si el requisito es una aplicación de negocio que usa una persona con sesión iniciada, el túnel de usuario lo cubre. Si el requisito es un controlador de dominio, una entidad de certificación o un servicio de administración accesible desde la pantalla de inicio de sesión, solo el túnel de dispositivo llega lo bastante pronto.

La libreta de direcciones no es la distinción

Guardar un perfil nativo en la libreta de todos los usuarios no crea un túnel de dispositivo. El perfil pasa a estar disponible para cada usuario de la máquina, lo que es una cuestión de ámbito de almacenamiento, y sigue conectándose en contexto de usuario.

Un túnel de dispositivo real se configura como tal, con los requisitos de plataforma, protocolo y certificado que Microsoft documenta para él. Esos requisitos incluyen una edición que lo admita, un dispositivo unido al dominio, IKEv2 y autenticación con certificado de máquina. Un perfil llamado device, copiado de un túnel de usuario y renombrado, no cumple nada de eso.

La documentación de Microsoft sobre el túnel de dispositivo es la referencia para la forma del perfil, y vale la pena leerla antes de suponer que un perfil de usuario que funciona puede reutilizarse.

Mantenga estrecho cada camino

El túnel de dispositivo solo debería llegar a lo que la máquina necesita antes del inicio de sesión: el directorio, la entidad de certificación, el punto de conexión de administración y los registros DNS que los resuelven. Sus rutas y reglas de firewall deberían reflejar esa lista corta y no el rango corporativo completo.

El túnel de usuario transporta el acceso de la persona y puede limitarse por grupo, aplicación o destino según lo requiera el despliegue. Mezclar los dos ámbitos es como un túnel previo al inicio de sesión acaba con acceso a recursos compartidos que ninguna cuenta de máquina debería tener.

Los dos túneles pueden desplegarse juntos, y en la mayoría de diseños Always On así se hace. El túnel de dispositivo aparece primero y se mantiene estrecho. El túnel de usuario aparece en el inicio de sesión y transporta el tráfico de trabajo. Si despliega solo uno, decida con qué fallo puede convivir. Una pantalla de inicio de sesión sin red y un túnel de usuario que transporta tráfico de administración son ambos malos, pero normalmente solo uno de los dos es aceptable en su entorno.

Pruebe la etapa, no el navegador

Una petición de navegador que funciona después del inicio de sesión demuestra el túnel de usuario y no dice nada del túnel de dispositivo. Pruebe las etapas por separado: arranque en frío hasta la pantalla de inicio de sesión, el propio inicio de sesión, la conexión del usuario y la recuperación tras suspensión o un cambio de red.

En la pantalla de inicio de sesión, la comprobación es si la máquina puede llegar al punto de conexión de administración sin ningún usuario con sesión iniciada. Es el único momento en que el túnel de dispositivo existe solo, y es la etapa que la gente se salta porque probarla requiere reiniciar.

Después del inicio de sesión, compruebe el túnel de usuario por separado, incluido el caso en que el túnel de dispositivo está activo pero el túnel de usuario ha fallado. Dos túneles con dos estados producen cuatro combinaciones, y solo una de ellas parece sana.

Cuando falla, nombre primero el túnel

La renovación del certificado de máquina y la recuperación de la cuenta de usuario son tareas distintas con propietarios distintos. Un túnel de dispositivo que falla tras caducar un certificado no se arreglará restableciendo las credenciales del usuario, y un túnel de usuario que falla tras un cambio de contraseña no se arreglará reemitiendo el certificado de máquina.

Anote qué túnel estaba activo, qué identidad usaba y qué etapa falló, y compare eso con los requisitos documentados para la edición y el entorno de administración en uso. Copiar un asistente de VPN genérico antiguo es como los despliegues acaban con un túnel de dispositivo que solo funciona para administradores.

Orden de trabajo: nombre el momento en que el tráfico debe fluir, elija el túnel que existe en ese momento, estreche sus rutas, pruebe cada etapa del ciclo de vida por separado y mantenga separados los procedimientos de recuperación de las dos identidades.