تونل دستگاه یا تونل کاربر در Windows Always On VPN؟
این انتخاب از لحظه‌ای پیروی می‌کند که ترافیک باید جریان یابد، نه از فهرست نمایه‌ها. زمینه دستگاه و کاربر را مقایسه کنید، سپس هر مرحله از چرخه عمر را جداگانه بیازمایید.
لپ‌تاپی که باید از صفحه ورود به یک سرور مدیریت دسترسی پیدا کند و لپ‌تاپی که باید پس از احراز هویت کاربر به اشتراک‌های فایل دسترسی پیدا کند، دو مسئله متفاوت‌اند. Windows آن‌ها را با دو تونل متفاوت حل می‌کند، و تفاوت در این نیست که کدام یک در فهرست نمایه‌ها دیده می‌شود. تونل دستگاه به‌عنوان ماشین کار می‌کند، پیش از آنکه کسی وارد شود. تونل کاربر به‌عنوان شخص کار می‌کند، پس از آنکه سکو هویتی برای کار داشته باشد. انتخاب میان این دو از لحظه‌ای آغاز می‌شود که ترافیک باید جریان یابد، نه از منابعی که باید به آن‌ها برسد.
دو هویت، دو لحظه
تونل دستگاه در زمینه ماشین برپا می‌شود، از همین رو می‌تواند ترافیک لازم برای احراز هویت کاربر یا برای گزارش‌دهی عامل‌های مدیریت پیش از ورود را حمل کند. تونل کاربر در زمینه کاربر، پس از ورود، با اعتبارنامه‌های کاربر و خط‌مشی‌ای که بر آن حساب اعمال می‌شود برپا می‌شود.
همین تفاوت زمانی، تمام طراحی است. هر چیز دیگری از آن برمی‌آید، از جمله اینکه کدام روش‌های احراز هویت در دسترس‌اند و کدام منابع معنا دارند.
اگر نیاز، برنامه‌ای کاری باشد که شخص واردشده از آن استفاده می‌کند، تونل کاربر پاسخ آن است. اگر نیاز، کنترل‌کننده دامنه، مرجع گواهی یا سرویس مدیریتی باشد که از صفحه ورود قابل دسترسی است، تنها تونل دستگاه به‌اندازه کافی زود است.
دفترچه تلفن همان تمایز نیست
ذخیره یک نمایه بومی در دفترچه تلفن همه کاربران، تونل دستگاه ایجاد نمی‌کند. نمایه برای هر کاربر روی ماشین در دسترس می‌شود، که پرسشی درباره دامنه ذخیره‌سازی است، و همچنان در زمینه کاربر متصل می‌شود.
تونل دستگاه واقعی به‌همان‌صورت پیکربندی می‌شود، با الزامات سکو، پروتکل و گواهی که Microsoft برای آن مستند کرده است. این الزامات شامل نسخه‌ای که از آن پشتیبانی می‌کند، دستگاه متصل به دامنه، IKEv2 و احراز هویت با گواهی ماشین است. نمایه‌ای به نام device که از تونل کاربر کپی و تغییرنام داده شده باشد، هیچ‌یک از این‌ها را برآورده نمی‌کند.
مستندات Microsoft درباره تونل دستگاه مرجع شکل نمایه است، و خواندنش پیش از آنکه فرض کنید نمایه کاربری کارآمد را می‌توان بازاستفاده کرد، ارزش دارد.
هر مسیر را باریک نگه دارید
تونل دستگاه باید تنها به چیزی برسد که ماشین پیش از ورود لازم دارد: دایرکتوری، مرجع گواهی، نقطه پایانی مدیریت و رکوردهای DNS که آن‌ها را تفکیک می‌کنند. مسیرها و قواعد دیوار آتش آن باید همان فهرست کوتاه را بازتاب دهد، نه گستره کامل سازمانی.
تونل کاربر دسترسی شخص را حمل می‌کند و می‌توان آن را بر حسب گروه، برنامه یا مقصد، چنان‌که استقرار می‌خواهد، محدود کرد. آمیختن این دو دامنه همان راهی است که تونل پیش از ورود به دسترسی اشتراک فایل می‌رسد که هیچ حساب ماشینی نباید هرگز داشته باشد.
هر دو تونل را می‌توان با هم مستقر کرد، و در بیشتر طراحی‌های Always On چنین می‌شود. تونل دستگاه نخست بالا می‌آید و باریک می‌ماند. تونل کاربر هنگام ورود بالا می‌آید و ترافیک کار را حمل می‌کند. اگر تنها یکی را مستقر کنید، تصمیم بگیرید با کدام شکست می‌توانید زندگی کنید. صفحه ورودی بدون شبکه و تونل کاربری که ترافیک مدیریت را حمل می‌کند هر دو بد هستند، اما معمولاً تنها یکی از آن دو در محیط شما پذیرفتنی است.
مرحله را بیازمایید، نه مرورگر را
یک درخواست موفق مرورگر پس از ورود، تونل کاربر را اثبات می‌کند و درباره تونل دستگاه چیزی نمی‌گوید. مراحل را جداگانه بیازمایید: راه‌اندازی سرد تا صفحه ورود، خود ورود، اتصال کاربر، و بازیابی پس از خواب یا تغییر شبکه.
در صفحه ورود، بررسی این است که آیا ماشین بدون هیچ کاربر واردشده به نقطه پایانی مدیریت می‌رسد. این تنها لحظه‌ای است که تونل دستگاه به‌تنهایی وجود دارد، و همان مرحله‌ای است که مردم از آن می‌گذرند چون آزمودنش به راه‌اندازی مجدد نیاز دارد.
پس از ورود، تونل کاربر را جداگانه بررسی کنید، از جمله حالتی که تونل دستگاه بالاست اما تونل کاربر شکست خورده است. دو تونل با دو وضعیت چهار ترکیب می‌سازند، و تنها یکی از آن‌ها سالم به نظر می‌رسد.
وقتی شکست می‌خورد، نخست تونل را نام ببرید
تمدید گواهی ماشین و بازیابی حساب کاربر دو وظیفه متفاوت با دو مالک متفاوت‌اند. تونل دستگاهی که پس از انقضای گواهی شکست می‌خورد با بازنشانی اعتبارنامه‌های کاربر درست نمی‌شود، و تونل کاربری که پس از تغییر گذرواژه شکست می‌خورد با صدور دوباره گواهی ماشین درست نمی‌شود.
ثبت کنید کدام تونل فعال بود، از کدام هویت استفاده کرد و کدام مرحله شکست خورد، سپس آن را با الزامات مستند برای نسخه و محیط مدیریت در حال استفاده مقایسه کنید. کپی کردن یک ویزارد عمومی قدیمی VPN همان راهی است که استقرارها به تونل دستگاهی می‌رسند که تنها برای مدیران کار می‌کند.
ترتیب کار: لحظه‌ای را که ترافیک باید جریان یابد نام ببرید، تونلی را که در آن لحظه وجود دارد انتخاب کنید، مسیرهایش را باریک کنید، هر مرحله از چرخه عمر را جداگانه بیازمایید، و رویه‌های بازیابی دو هویت را از هم جدا نگه دارید.