¿Túnel de dispositivo ou túnel de usuario en Windows Always On VPN?

Un portátil que debe chegar a un servidor de administración desde a pantalla de inicio de sesión e un portátil que debe chegar a recursos compartidos despois de que o usuario se autentique son dous problemas distintos. Windows resólveos con dous túneles diferentes, e a diferenza non é cal aparece na lista de perfís. O túnel de dispositivo execútase como a máquina, antes de que ninguén inicie sesión. O túnel de usuario execútase como a persoa, despois de que a plataforma teña unha identidade coa que traballar. Escoller entre ambos comeza polo momento en que o tráfico debe fluír, non polos recursos aos que debe chegar.

Dúas identidades, dous momentos

O túnel de dispositivo establécese no contexto de máquina, por iso pode transportar o tráfico necesario para autenticar un usuario ou para que os axentes de administración se rexistren antes do inicio de sesión. O túnel de usuario establécese no contexto de usuario, despois do inicio de sesión, coas credenciais do usuario e a directiva que se aplica a esa conta.

Esa diferenza temporal é todo o deseño. Todo o demais derívase dela, incluídos os métodos de autenticación dispoñibles e os recursos que teñen sentido.

Se o requisito é unha aplicación de negocio que usa unha persoa con sesión iniciada, o túnel de usuario respóndelle. Se o requisito é un controlador de dominio, unha autoridade de certificación ou un servizo de administración accesible desde a pantalla de inicio de sesión, só o túnel de dispositivo chega o suficientemente pronto.

A libreta de enderezos non é a distinción

Gardar un perfil nativo na libreta de todos os usuarios non crea un túnel de dispositivo. O perfil pasa a estar dispoñible para cada usuario da máquina, o que é unha cuestión de ámbito de almacenamento, e segue conectándose en contexto de usuario.

Un túnel de dispositivo real configúrase como tal, cos requisitos de plataforma, protocolo e certificado que Microsoft documenta para el. Esas esixencias inclúen unha edición que o admita, un dispositivo unido ao dominio, IKEv2 e autenticación con certificado de máquina. Un perfil chamado device, copiado dun túnel de usuario e renomeado, non cumpre nada diso.

A documentación de Microsoft sobre o túnel de dispositivo é a referencia para a forma do perfil, e paga a pena lela antes de supor que un perfil de usuario que funciona se pode reutilizar.

Manteña estreito cada camiño

O túnel de dispositivo só debería chegar ao que a máquina necesita antes do inicio de sesión: o directorio, a autoridade de certificación, o punto de conexión de administración e os rexistros DNS que os resolven. As súas rutas e regras de devasado deberían reflectir esa lista curta e non o rango corporativo completo.

O túnel de usuario transporta o acceso da persoa e pode limitarse por grupo, aplicación ou destino segundo o requira o despregamento. Mesturar os dous ámbitos é como un túnel previo ao inicio de sesión acaba con acceso a recursos compartidos que ningunha conta de máquina debería ter.

Os dous túneles poden despregarse xuntos, e na maioría de deseños Always On así se fai. O túnel de dispositivo aparece primeiro e mantense estreito. O túnel de usuario aparece no inicio de sesión e transporta o tráfico de traballo. Se despregue só un, decida con que fallo pode convivir. Unha pantalla de inicio de sesión sen rede e un túnel de usuario que transporta tráfico de administración son ambos malos, pero normalmente só un dos dous é aceptable no seu contorno.

Probe a etapa, non o navegador

Unha petición de navegador que funciona despois do inicio de sesión demostra o túnel de usuario e non di nada do túnel de dispositivo. Probe as etapas por separado: arranque en frío ata a pantalla de inicio de sesión, o propio inicio de sesión, a conexión do usuario e a recuperación tras suspensión ou un cambio de rede.

Na pantalla de inicio de sesión, a comprobación é se a máquina pode chegar ao punto de conexión de administración sen ningún usuario con sesión iniciada. É o único momento en que o túnel de dispositivo existe só, e é a etapa que a xente salta porque probala require reiniciar.

Despois do inicio de sesión, comprobe o túnel de usuario por separado, incluído o caso en que o túnel de dispositivo está activo pero o túnel de usuario fallou. Dous túneles con dous estados producen catro combinacións, e só unha delas parece sa.

Cando falla, nomee primeiro o túnel

A renovación do certificado de máquina e a recuperación da conta de usuario son tarefas distintas con propietarios distintos. Un túnel de dispositivo que falla tras caducar un certificado non se arranxará restablecendo as credenciais do usuario, e un túnel de usuario que falla tras un cambio de contrasinal non se arranxará reemitindo o certificado de máquina.

Anote que túnel estaba activo, que identidade usaba e que etapa fallou, e compare iso cos requisitos documentados para a edición e o contorno de administración en uso. Copiar un asistente de VPN xenérico antigo é como os despregamentos acaban cun túnel de dispositivo que só funciona para administradores.

Orde de traballo: nomee o momento en que o tráfico debe fluír, escolla o túnel que existe nese momento, estreite as súas rutas, probe cada etapa do ciclo de vida por separado e manteña separados os procedementos de recuperación das dúas identidades.