Apparaattunnel of brûkerstunnel yn Windows Always On VPN?

In laptop dy’t fan it oanmeldskerm út in behearderserver berikke moat en in laptop dy’t nei de autentikaasje fan de brûker bestânsdielingen berikke moat, binne twa ferskillende problemen. Windows lost se op mei twa ferskillende tunnels, en it ferskil is net hokker fan beide yn de profylist ferskynt. De apparaattunnel draait as de masine, foardat immen oanmeldt. De brûkerstunnel draait as de persoan, neidat it platfoarm in identiteit hat om mei te wurkjen. Kieze tusken beide begjint by it momint wêrop’t it ferkear streame moat, net by de boarnen dy’t it berikke moat.

Twa identiteiten, twa mominten

De apparaattunnel wurdt yn masinekontekst oprjochte, dêrom kin er it ferkear drage dat nedich is om in brûker te autentisearjen of om behear-aginten foar de oanmelding rapportearje te litten. De brûkerstunnel wurdt yn brûkerskontekst oprjochte, nei de oanmelding, mei de befinings fan de brûker en it belied dat op dat account jildt.

Dat tiidferskil is it hiele ûntwerp. Al it oare folget dêroan, ynklusyf hokker autentikaasjemethoden beskikber binne en hokker boarnen sin hawwe.

As de eask in saaklike applikaasje is dy’t in oanmelde persoan brûkt, antwurdet de brûkerstunnel dêrop. As de eask in domeinbehearder, in sertifikaatautoriteit of in beheartstsjinst is dy’t fan it oanmeldskerm ôf berikber is, is allinnich de apparaattunnel ier genôch.

It telefoanboek is it ferskil net

In native profyl yn it telefoanboek fan alle brûkers bewarje makket gjin apparaattunnel. It profyl wurdt foar elke brûker op de masine beskikber, wat in kwestje fan opslachomfang is, en it ferbynt noch hieltyd yn brûkerskontekst.

In echte apparaattunnel wurdt as sadanich konfigurearre, mei de platfoarm-, protokol- en sertifikaateasken dy’t Microsoft dêrfoar dokumintearret. Dy easken omfetsje in edysje dy’t him stipet, in oan domein keppele apparaat, IKEv2 en autentikaasje mei in masinesertifikaat. In profyl mei de namme device, kopiearre fan in brûkerstunnel en omneamd, foldocht oan neat dêrfan.

De dokumintaasje fan Microsoft oer de apparaattunnel is de referinsje foar de foarm fan it profyl, en it is de muoite wurdich om dy te lêzen foardat jo oannimme dat in wurkjend brûkersprofyl werbrûkt wurde kin.

Hâld elk paad smel

De apparaattunnel moat allinnich berikke wat de masine foar de oanmelding nedich hat: de directory, de sertifikaatautoriteit, it beheareinpunt en de DNS-records dy’t dy oplosse. Syn rûtes en firewallregels moatte dy koarte list wjerspegelje en net it folsleine bedriuwsberik.

De brûkerstunnel draacht de tagong fan de persoan en kin nei groep, applikaasje of bestimming beheind wurde sa’t de útrulling freget. De twa omfangen trochinoar helje is hoe’t in tunnel foar de oanmelding tagong kriget ta bestânsdielingen dy’t gjin masineaccount ea hawwe moat.

Beide tunnels kinne tegearre útrôle wurde, en yn de measte Always On-ûntwerpen bart dat. De apparaattunnel komt earst omheech en bliuwt smel. De brûkerstunnel komt by de oanmelding omheech en draacht it wurkferkear. As jo mar ien útrôle, beslute dan mei hokker flater jo libje kinne. In oanmeldskerm sûnder netwurk en in brûkerstunnel dy’t behearferkear draacht binne beide min, mar meastentiids is mar ien fan beide akseptabel yn jo omjouwing.

Test de faze, net de browser

In wurkjend browserfersyk nei de oanmelding bewissiget de brûkerstunnel en seit neat oer de apparaattunnel. Test de fazen apart: kâlde start oant it oanmeldskerm, de oanmelding sels, de brûkersferbining en it weromkommen nei sliep of in netwurkferoaring.

By it oanmeldskerm is de kontrôle oft de masine it beheareinpunt berikke kin sûnder in oanmelde brûker. Dat is it iennige momint wêrop’t de apparaattunnel allinnich bestiet, en it is de faze dy’t minsken oerslaan om’t it testen in werstart freget.

Nei de oanmelding, kontrolearje de brûkerstunnel apart, ynklusyf it gefal wêryn’t de apparaattunnel omheech is mar de brûkerstunnel mislearre. Twa tunnels mei twa tastannen jouwe fjouwer kombinaasjes, en mar ien dêrfan sjocht der sûn út.

As it mislearret, neam dan earst de tunnel

Fernijing fan masinesertifikaten en weromsetten fan brûkersaccounts binne ferskillende taken mei ferskillende eigners. In apparaattunnel dy’t nei it ferrinnen fan in sertifikaat mislearret, wurdt net reparearre troch de befinings fan de brûker werom te setten, en in brûkerstunnel dy’t nei in wachtwurdferoaring mislearret, wurdt net reparearre troch it masinesertifikaat opnij út te jaan.

Skriuw op hokker tunnel aktyf wie, hokker identiteit er brûkte en hokker faze mislearre, en fergelykje dat dan mei de dokumintearre easken foar de edysje en de behear-omjouwing dy’t brûkt wurde. In âld algemien VPN-tsjoender kopiearje is hoe’t útrullingen einigje mei in apparaattunnel dy’t allinnich foar behearders wurket.

Wurkfolchoarder: neam it momint wêrop’t it ferkear streame moat, kies de tunnel dy’t op dat momint bestiet, fersmjelje syn rûtes, test elke libbenssyklusfase apart, en hâld de weromsetprosedueres fan de twa identiteiten los faninoar.