Laite- vai käyttäjätunneli Windows Always On VPN:ssä?

Kannettava, jonka on kirjautumisnäytöltä päästävä hallintapalvelimeen, ja kannettava, jonka on käyttäjän todentamisen jälkeen päästävä tiedostojakoihin, ovat kaksi eri ongelmaa. Windows ratkaisee ne kahdella eri tunnelilla, eikä ero ole siinä, kumpi näkyy profiililuettelossa. Laite-tunneli toimii koneena, ennen kuin kukaan kirjautuu sisään. Käyttäjätunneli toimii henkilönä, sen jälkeen kun alustalla on identiteetti, jonka kanssa työskennellä. Näiden välillä valitseminen alkaa hetkestä, jolloin liikenteen on kuljettava, ei resursseista, joihin sen on päästävä.

Kaksi identiteettiä, kaksi hetkeä

Laite-tunneli muodostetaan koneen kontekstissa, minkä vuoksi se voi kuljettaa liikennettä, jota tarvitaan käyttäjän todentamiseen tai jotta hallinta-agentit voivat ilmoittautua ennen sisäänkirjautumista. Käyttäjätunneli muodostetaan käyttäjän kontekstissa, sisäänkirjautumisen jälkeen, käyttäjän tunnistetiedoilla ja kyseiseen tiliin sovellettavalla käytännöllä.

Tuo aikaero on koko suunnittelu. Kaikki muu seuraa siitä, mukaan lukien se, mitkä todentamismenetelmät ovat käytettävissä ja mitkä resurssit ovat mielekkäitä.

Jos vaatimuksena on liiketoimintasovellus, jota sisäänkirjautunut henkilö käyttää, käyttäjätunneli vastaa siihen. Jos vaatimuksena on toimialueen ohjauskone, varmentaja tai hallintapalvelu, joka on tavoitettavissa kirjautumisnäytöltä, vain laite-tunneli on riittävän aikainen.

Puhelinluettelo ei ole se ero

Natiivin profiilin tallentaminen kaikkien käyttäjien puhelinluetteloon ei luo laite-tunnelii. Profiili tulee jokaisen koneen käyttäjän saataville, mikä on tallennuslaajuuden kysymys, ja se yhdistää edelleen käyttäjän kontekstissa.

Todellinen laite-tunneli määritetään juuri sellaiseksi, niillä alusta-, protokolla- ja varmennevaatimuksilla, jotka Microsoft dokumentoi sille. Näihin vaatimuksiin kuuluvat julkaisu, joka tukee sitä, toimialueeseen liitetty laite, IKEv2 ja konevarmenteella tehtävä todentaminen. Profiili nimeltä device, käyttäjätunnelista kopioitu ja uudelleen nimetty, ei täytä niistä mitään.

Microsoftin laite-tunnelin dokumentaatio on viite profiilin muodolle, ja se kannattaa lukea ennen kuin olettaa, että toimiva käyttäjäprofiili voidaan ottaa uudelleen käyttöön.

Pidä jokainen polku kapeana

Laite-tunnelin tulisi tavoittaa vain se, mitä kone tarvitsee ennen sisäänkirjautumista: hakemisto, varmentaja, hallinnan päätepiste ja DNS-tietueet, jotka ratkaisevat ne. Sen reitit ja palomuurisäännöt tulisi heijastaa tuota lyhyttä luetteloa eikä koko yrityksen aluetta.

Käyttäjätunneli kuljettaa henkilön pääsyn ja se voidaan rajata ryhmän, sovelluksen tai kohteen mukaan käyttöönoton vaatimusten mukaisesti. Kahden laajuuden sekoittaminen on se tapa, jolla ennen kirjautumista toimiva tunneli saa tiedostojakojen käyttöoikeuden, jota millään konetilillä ei pitäisi koskaan olla.

Molemmat tunnelit voidaan ottaa käyttöön yhdessä, ja useimmissa Always On -suunnitelmissa niin tehdään. Laite-tunneli nousee ensin ja pysyy kapeana. Käyttäjätunneli nousee sisäänkirjautumisessa ja kuljettaa työliikennettä. Jos otat käyttöön vain yhden, päätä, minkä vian kanssa voit elää. Kirjautumisnäyttö ilman verkkoa ja hallintaliikennettä kuljettava käyttäjätunneli ovat molemmat huonoja, mutta yleensä vain toinen niistä on hyväksyttävä ympäristössäsi.

Testaa vaihe, älä selainta

Toimiva selainpyyntö sisäänkirjautumisen jälkeen todistaa käyttäjätunnelin eikä kerro mitään laite-tunnelista. Testaa vaiheet erikseen: kylmäkäynnistys kirjautumisnäytölle, itse sisäänkirjautuminen, käyttäjän yhteys ja palautuminen unesta tai verkon vaihtumisesta.

Kirjautumisnäytöllä tarkistus on, pääseekö kone hallinnan päätepisteeseen ilman sisäänkirjautunutta käyttäjää. Se on ainoa hetki, jolloin laite-tunneli on olemassa yksinään, ja se on vaihe, jonka ihmiset ohittavat, koska sen testaaminen vaatii uudelleenkäynnistyksen.

Tarkista sisäänkirjautumisen jälkeen käyttäjätunneli erikseen, mukaan lukien tapaus, jossa laite-tunneli on ylhäällä mutta käyttäjätunneli epäonnistui. Kaksi tunnelia kahdella tilalla tuottaa neljä yhdistelmää, ja vain yksi niistä näyttää terveeltä.

Kun se epäonnistuu, nimeä ensin tunneli

Konevarmenteen uusiminen ja käyttäjätilin palauttaminen ovat eri tehtäviä eri omistajille. Laite-tunneli, joka epäonnistuu varmenteen vanhennuttua, ei korjaannu käyttäjän tunnistetietojen nollaamisella, eikä käyttäjätunneli, joka epäonnistuu salasanan vaihtamisen jälkeen, korjaannu myöntämällä konevarmenne uudelleen.

Kirjaa, mikä tunneli oli aktiivinen, mitä identiteettiä se käytti ja mikä vaihe epäonnistui, ja vertaa sitä käytössä olevan julkaisun ja hallintaympäristön dokumentoituihin vaatimuksiin. Vanhan yleisen VPN-velhon kopioiminen on se tapa, jolla käyttöönotot päätyvät laite-tunneliin, joka toimii vain järjestelmänvalvojille.

Työn järjestys: nimeä hetki, jolloin liikenteen on kuljettava, valitse tunneli, joka tuolloin on olemassa, kavenna sen reitit, testaa jokainen elinkaaren vaihe erikseen ja pidä kahden identiteetin palautusmenettelyt erillään.