Always On VPN is gjin LAN-toegang: in kontrôlelist foar boarnen

Always On is in ferbiningslibbenssyklus: it profyl ferbynt by of foar it oanmelden en ferbynt wer sûnder dat de brûker eat yndrukt. Dat betsjut net dat elke privee bestimming, protokol en brûker tastien is. De praktyske fraach is hokker boarnen it útrôle profyl echt leveret, en dat antwurd freget in kontrôle per boarne, net in each op it Connected-badge.

Stap 1: Skriuw de boarne op foar’tsto testest

Begjin mei ien koart record per applikaasje, helle út de echte omjouwing: namme, bestimmingsprefiks, tsjinst en poarte, tunnelrol, identiteitsgroep en it paad fan de resolver.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

It record twingt fjouwer aparte fragen ôf. In rûte beslút wêr’t it adres hinne giet; DNS-belied beslút hoe’t de klient it adres leart; in ferkearsfilter beslút oft dat ferkear de ferbining brûke mei; de firewall en applikaasjetastimmingen fan de bestimming beslute oft it fersyk akseptearre wurdt. Gjint fan de fjouwer folget út in ferbûne tunnel.

Stap 2: Bepaal hokker tunnel it drage moat

Windows Always On VPN hat in apparaattunnel en in brûkerstunnel, konfigurearre as aparte profylen mei aparte sertifikaten en skoften. De apparaattunnel draacht meastentiids allinnich de ynfrastruktuer dy’t foar it oanmelden nedich is, lykas behear en domeintsjinsten; brede applikaasjetoegong foar meiwurkers heart by de brûkerstunnel.

Ferkearsfilters binne in funksje fan de apparaattunnel, dêrom brûkt it foarbyld fan Microsoft se foar behearsferkear. It kopiearjen fan dat foarbyld yn in algemien boarneprofyl jout in tunnel dy’t ferbynt mar de ferkearde set draacht. Befêstigje de aktive ferbining mei Get-VpnConnection en test ûnder dy ferbining.

Stap 3: Ferifiearje de rûte foar it echte adres

Los de namme ien kear op en kontrolearje dan de rûte: Find-NetRoute -RemoteIPAddress 10.20.5.10 jout de keazen ynterface, de folgjende hop en it boarneadres. Is de ynterface de fysike adapter, dan ûntbrekt it prefiks yn de rûteset fan de tunnel of hat de klient it útsein troch in split tunnel. Fergelykje mei de profyldefinysje ynstee fan in lokale rûte ta te foegjen.

In lokale route add kin de test slagje litte en ferdwine by de folgjende beliedsferfarsking, dêrom heart de wiziging yn it behearde profyl. Kontrolearje it prefiks yn sawol it brûkers- as it apparaatprofyl, en kontrolearje de ynstelling foar split tunnel: in folsleine tunnel hat gjin rûte per prefiks nedich, in split tunnel wol ien foar elk privee prefiks.

Stap 4: Test it oplossen fan priveenammen apart

Priveenammen hawwe har eigen beliedspaad. It profyl kin NRPT-regels en in DNS-efterheaksel-soeklist leverje, jildich salang’t de tunnel oan is. Lês mei Get-DnsClientNrptPolicy wat de klient echt krigen hat, en test dan in namme en in adres yn deselde sesje. Nammen dy’t misse wylst adressen wurkje, wize op de resolver; beide dy’t misse wize op de rûte.

In namme kin ek oplosse nei in adres bûten de rûtes fan de tunnel, wat súkses en timeout mingt. Fergelykje it weromjûn adres mei it prefiks yn jo record; ferskille se, dan antwurdet de privee sône mei in iepenbier as alternatyf adres en is de oerienkommende rûte net de ûntwurpen ien.

Stap 5: Kontrolearje filters, identiteit en de eigen poarte fan de applikaasje

Ferkearsfilters beheine hokker protokollen en poarten de apparaattunnel brûke meie, en in smelle set kin in boarne blokkearje dy’t de rûte drage soe. It profyl jout de ferbining oan in groep, mar de boarne hat syn eigen autorisaasje: in brûker dy’t ferbine kin, wurdt net automatysk troch de triemtsjinner akseptearre.

Feroarje it behearde profyl fia syn eigner, itsij Intune, in ProfileXML-útrôl of in operaasjeskript, en test dan wer nei in normale werferbining en nei in werstart: de gewoane flater is in ferâldere lokale rûte of in profyl dat ien kear tapast is. Hâld de profylferzje njonken it testresultaat.