Always On VPN ez da LANeko sarbidea: baliabideen kontrol-zerrenda

Always On konexio baten bizi-zikloa da: profilea saioa hastean edo lehenago konektatzen da eta berriro konektatzen da erabiltzaileak ezer sakatu gabe. Horrek ez du esan nahi helmuga pribatu, protokolo eta erabiltzaile guztiak baimenduta daudenik. Galdera praktikoa da zer baliabide ematen dituen hedaturiko profileak, eta erantzun horrek baliabidez baliabide egiaztatzea eskatzen du, ez Connected ikonoari begiratzea.

1. urratsa: idatzi baliabidea probatu aurretik

Hasi aplikazio bakoitzeko fitxa labur batekin, ingurune errealetik hartuta: izena, helmugako aurrizkia, zerbitzua eta ataka, tunelaren rola, identitate-taldea eta ebazlearen bidea.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Fitxak lau galdera bereizi behartzen ditu. Ibilbideak erabakitzen du norantz doan helbideak; DNS politikak erabakitzen du nola ikasten duen bezeroak helbidea; trafiko-iragazkiak erabakitzen du trafiko horrek konexioa erabil dezakeen; helmugako suebakiak eta aplikazioaren baimenek erabakitzen dute eskaera onartzen den. Lau horietako bat ere ez dator konektatutako tunel batetik.

2. urratsa: zehaztu zein tuneli dagokion eramatea

Windows Always On VPN-ek gailu-tunela eta erabiltzaile-tunela ditu, profil bereizi gisa konfiguratuta, ziurtagiri eta esparru bereiziekin. Gailu-tunelak, normalean, saioa hasi aurretik behar den azpiegitura baino ez du eramaten, hala nola kudeaketa eta domeinu-zerbitzuak; langileen aplikazio-sarbide zabala erabiltzaile-tunelari dagokio.

Trafiko-iragazkiak gailu-tunelaren ezaugarria dira, eta horregatik erabiltzen ditu Microsoften adibideak kudeaketa-trafikorako. Adibide hori baliabide-profil orokor batera kopiatzeak konektatzen duen baina multzo okerra daraman tunela ematen du. Egiaztatu konexio aktiboa Get-VpnConnection erabiliz eta probatu konexio horren pean.

3. urratsa: egiaztatu ibilbidea benetako helbiderako

Ebatzi izena behin eta gero egiaztatu ibilbidea: Find-NetRoute -RemoteIPAddress 10.20.5.10 aukeratutako interfazea, hurrengo jauzia eta iturburu-helbidea erakusten ditu. Interfazea adapter fisikoa bada, aurrizkia falta da tunelaren ibilbide-multzoan edo bezeroak tunel zatituaren bidez kanpoan utzi du. Alderatu profileko definizioarekin, ibilbide lokala gehitu beharrean.

route add lokal batek proba gaindi dezake eta hurrengo politika-eguneratzean desagertu, beraz aldaketa kudeatutako profilean doa. Egiaztatu aurrizkia erabiltzaile- eta gailu-profilean, eta tunel zatituaren ezarpena: tunel osoak ez du aurrizkiko ibilbiderik behar, tunel zatuak bai, aurrizki pribatu bakoitzeko bat.

4. urratsa: probatu izen pribatuen ebazpena bereizita

Izen pribatuek beren politika-bidea dute. Profileak NRPT arauak eta DNS atzizki-bilaketa zerrenda eman ditzake, tunela martxan dagoen bitartean balio dutenak. Irakurri Get-DnsClientNrptPolicy bidez bezeroak benetan zer jaso duen, eta gero probatu izen bat eta helbide bat saio berean. Izenek huts egiten badute helbideek funtzionatzen duten bitartean, ebazlea da; biak huts egiten badute, ibilbidea.

Izen bat tunelaren ibilbideetatik kanpoko helbide batera ere ebatzi daiteke, eta horrek arrakasta eta itxarote-denbora nahasten ditu. Alderatu itzulitako helbidea zure fitxako aurrizkiarekin; desberdinak badira, zona pribatuak helbide publiko edo alternatibo batekin erantzuten du eta bat datorren ibilbidea ez da diseinatutakoa.

5. urratsa: egiaztatu iragazkiak, identitatea eta aplikazioaren atea

Trafiko-iragazkiek mugatzen dute zein protokolo eta atakak erabil dezaketen gailu-tunela, eta multzo estuak ibilbideak eramango lukeen baliabidea blokea dezake. Profileak konexioa talde bati esleitzen dio, baina baliabideak bere baimena du: konektatu daitekeen erabiltzailea ez du fitxategi-zerbitzariak automatikoki onartzen.

Aldatu kudeatutako profila bere jabearen bidez, Intune, ProfileXML hedapena edo eragiketa-scripta izan, eta gero probatu berriro berriz konektatu ondoren eta berrabiarazi ondoren: ohiko hutsegitea ibilbide lokal zaharkitua edo behin aplikatutako profila da. Gorde profileko bertsioa probaren emaitzaren ondoan.