Seadme tunnel või kasutaja tunnel Windows Always On VPN-is?

Sülearvuti, mis peab sisselogimisekraanilt jõudma haldusserverini, ja sülearvuti, mis peab pärast kasutaja autentimist jõudma failijagudeni, on kaks erinevat probleemi. Windows lahendab need kahe erineva tunneliga ja erinevus ei ole selles, milline neist profiilide loendis ilmub. Seadme tunnel töötab masinana, enne kui keegi sisse logib. Kasutaja tunnel töötab isikuna, pärast seda kui platvormil on identiteet, millega töötada. Nende vahel valimine algab hetkest, mil liiklus peab voolama, mitte ressurssidest, milleni see peab jõudma.

Kaks identiteeti, kaks hetke

Seadme tunnel luuakse masina kontekstis, seepärast saab see kanda liiklust, mida on vaja kasutaja autentimiseks või selleks, et haldusagendid saaksid enne sisselogimist endast märku anda. Kasutaja tunnel luuakse kasutaja kontekstis, pärast sisselogimist, kasutaja volituste ja sellele kontole kehtiva poliitikaga.

See ajaline erinevus on kogu disain. Kõik muu tuleneb sellest, sealhulgas see, millised autentimismeetodid on saadaval ja millistel ressurssidel on mõtet.

Kui nõue on sisseloginud isiku kasutatav ärirakendus, vastab sellele kasutaja tunnel. Kui nõue on domeenikontroller, sertifitseerimisasutus või haldusteenus, mis on sisselogimisekraanilt kättesaadav, on piisavalt varajane ainult seadme tunnel.

Telefoniraamat ei ole see erinevus

Natiivse profiili salvestamine kõigi kasutajate telefoniraamatusse ei loo seadme tunnelit. Profiil muutub kättesaadavaks masina igale kasutajale, mis on salvestusulatuse küsimus, ja see loob ühenduse endiselt kasutaja kontekstis.

Tõeline seadme tunnel konfigureeritakse just sellisena, koos platvormi-, protokolli- ja sertifikaadinõuetega, mille Microsoft selle jaoks dokumenteerib. Need nõuded hõlmavad väljaannet, mis seda toetab, domeeniga liidetud seadet, IKEv2-t ja masinasertifikaadiga autentimist. Profiil nimega device, mis on kasutaja tunnelist kopeeritud ja ümber nimetatud, ei täida neist ühtegi.

Microsofti seadme tunneli dokumentatsioon on profiili kuju jaoks viide ja seda tasub lugeda enne, kui eeldada, et töötavat kasutajaprofiili saab uuesti kasutada.

Hoidke iga tee kitsas

Seadme tunnel peaks jõudma ainult selleni, mida masin enne sisselogimist vajab: kataloog, sertifitseerimisasutus, halduse lõpp-punkt ja DNS-kirjed, mis neid lahendavad. Selle marsruudid ja tulemüürireeglid peaksid kajastama seda lühikest loendit, mitte kogu ettevõtte vahemikku.

Kasutaja tunnel kannab isiku juurdepääsu ja seda saab vastavalt juurutuse nõuetele piirata grupi, rakenduse või sihtkoha järgi. Kahe ulatuse segamine on see, kuidas enne sisselogimist loodud tunnel saab failijagude juurdepääsu, mida ühelgi masinakontol ei peaks kunagi olema.

Mõlemat tunnelit saab juurutada koos ja enamikus Always On-i disainides nii tehakse. Seadme tunnel tõuseb esimesena ja jääb kitsaks. Kasutaja tunnel tõuseb sisselogimisel ja kannab tööliiklust. Kui juurutate ainult ühe, otsustage, millise rikkega saate elada. Sisselogimisekraan ilma võrguta ja haldusliiklust kandev kasutaja tunnel on mõlemad halvad, kuid tavaliselt on teie keskkonnas vastuvõetav ainult üks neist.

Testige etappi, mitte brauserit

Edukas brauseripäring pärast sisselogimist tõestab kasutaja tunnelit ja ei ütle seadme tunneli kohta midagi. Testige etappe eraldi: külmkäivitus kuni sisselogimisekraanini, sisselogimine ise, kasutaja ühendus ja taastumine pärast unerežiimi või võrgu muutust.

Sisselogimisekraanil on kontrolliks see, kas masin jõuab halduse lõpp-punkti ilma sisseloginud kasutajata. See on ainus hetk, mil seadme tunnel eksisteerib üksi, ja see on etapp, mille inimesed vahele jätavad, sest selle testimine nõuab taaskäivitust.

Pärast sisselogimist kontrollige kasutaja tunnelit eraldi, sealhulgas juhul, kui seadme tunnel töötab, kuid kasutaja tunnel ebaõnnestus. Kaks tunnelit kahe olekuga annavad neli kombinatsiooni ja ainult üks neist näeb terve välja.

Kui see ebaõnnestub, nimetage esmalt tunnel

Masinasertifikaadi uuendamine ja kasutajakonto taastamine on erinevad ülesanded erinevate omanikega. Seadme tunnel, mis ebaõnnestub pärast sertifikaadi aegumist, ei parane kasutaja volituste lähtestamisega, ja kasutaja tunnel, mis ebaõnnestub pärast parooli muutmist, ei parane masinasertifikaadi uuesti väljastamisega.

Kirjutage üles, milline tunnel oli aktiivne, millist identiteeti see kasutas ja milline etapp ebaõnnestus, seejärel võrrelge seda kasutatava väljaande ja halduskeskkonna dokumenteeritud nõuetega. Vana üldise VPN-võluri kopeerimine on see, kuidas juurutused jõuavad seadme tunnelini, mis töötab ainult administraatorite jaoks.

Töö järjekord: nimetage hetk, mil liiklus peab voolama, valige tunnel, mis sel hetkel eksisteerib, kitsendage selle marsruute, testige iga elutsükli etappi eraldi ja hoidke kahe identiteedi taastamisprotseduurid lahus.