מנהרת מכשיר או מנהרת משתמש ב-Windows Always On VPN?

מחשב נייד שצריך להגיע לשרת ניהול ממסך הכניסה ומחשב נייד שצריך להגיע לשיתופי קבצים לאחר אימות המשתמש הם שתי בעיות שונות. Windows פותר אותן בשתי מנהרות שונות, וההבדל אינו איזו מהן מופיעה ברשימת הפרופילים. מנהרת המכשיר פועלת בתור המחשב, לפני שמישהו נכנס. מנהרת המשתמש פועלת בתור האדם, לאחר שלפלטפורמה יש זהות לעבוד איתה. הבחירה ביניהן מתחילה ברגע שבו התעבורה חייבת לזרום, ולא במשאבים שאליהם היא חייבת להגיע.

שתי זהויות, שני רגעים

מנהרת המכשיר מוקמת בהקשר המחשב, ולכן היא יכולה לשאת את התעבורה הנדרשת לאימות משתמש או כדי שסוכני ניהול ידווחו לפני הכניסה. מנהרת המשתמש מוקמת בהקשר המשתמש, לאחר הכניסה, עם פרטי ההסמכה של המשתמש ועם המדיניות שחלה על אותו חשבון.

הפרש הזמנים הזה הוא כל התכנון. כל השאר נובע ממנו, כולל אילו שיטות אימות זמינות ואילו משאבים הגיוניים.

אם הדרישה היא יישום עסקי שאדם מחובר משתמש בו, מנהרת המשתמש עונה עליה. אם הדרישה היא בקר תחום, רשות אישורים או שירות ניהול שנגיש ממסך הכניסה, רק מנהרת המכשיר מוקדמת מספיק.

ספר הטלפונים אינו ההבחנה

שמירת פרופיל מקורי בספר הטלפונים של כל המשתמשים אינה יוצרת מנהרת מכשיר. הפרופיל נעשה זמין לכל משתמש במחשב, וזו שאלה של היקף אחסון, והוא עדיין מתחבר בהקשר המשתמש.

מנהרת מכשיר אמיתית מוגדרת ככזו, עם דרישות הפלטפורמה, הפרוטוקול והאישור ש-Microsoft מתעדת עבורה. דרישות אלה כוללות מהדורה שתומכת בה, מכשיר שמצורף לתחום, IKEv2 ואימות באישור מחשב. פרופיל בשם device, שהועתק ממנהרת משתמש ושמו שונה, אינו עומד באף אחד מאלה.

התיעוד של Microsoft על מנהרת המכשיר הוא ההפניה לצורת הפרופיל, וכדאי לקרוא אותו לפני שמניחים שאפשר לעשות שימוש חוזר בפרופיל משתמש עובד.

השאירו כל נתיב צר

מנהרת המכשיר צריכה להגיע רק למה שהמחשב צריך לפני הכניסה: הספרייה, רשות האישורים, נקודת הקצה של הניהול ורשומות ה-DNS שפותרות אותן. המסלולים וכללי חומת האש שלה צריכים לשקף את הרשימה הקצרה הזו ולא את הטווח הארגוני המלא.

מנהרת המשתמש נושאת את הגישה של האדם וניתן להגביל אותה לפי קבוצה, יישום או יעד כפי שהפריסה דורשת. ערבוב שני ההיקפים הוא הדרך שבה מנהרה שלפני הכניסה מקבלת גישה לשיתופי קבצים שאף חשבון מחשב לא אמור לקבל לעולם.

אפשר לפרוס את שתי המנהרות יחד, וברוב תכנוני Always On זה מה שנעשה. מנהרת המכשיר עולה ראשונה ונשארת צרה. מנהרת המשתמש עולה בכניסה ונושאת את תעבורת העבודה. אם פורסים רק אחת, החליטו עם איזו תקלה אתם יכולים לחיות. מסך כניסה בלי רשת ומנהרת משתמש שנושאת תעבורת ניהול שניהם גרועים, אבל בדרך כלל רק אחד מהם מקובל בסביבה שלכם.

בדקו את השלב, לא את הדפדפן

בקשת דפדפן מוצלחת לאחר הכניסה מוכיחה את מנהרת המשתמש ואינה אומרת דבר על מנהרת המכשיר. בדקו את השלבים בנפרד: אתחול קר עד מסך הכניסה, הכניסה עצמה, החיבור של המשתמש וההתאוששות לאחר שינה או שינוי רשת.

במסך הכניסה, הבדיקה היא אם המחשב יכול להגיע לנקודת הקצה של הניהול בלי שאף משתמש מחובר. זה הרגע היחיד שבו מנהרת המכשיר קיימת לבדה, וזה השלב שאנשים מדלגים עליו משום שבדיקתו דורשת אתחול מחדש.

לאחר הכניסה, בדקו את מנהרת המשתמש בנפרד, כולל המקרה שבו מנהרת המכשיר פעילה אך מנהרת המשתמש נכשלה. שתי מנהרות עם שני מצבים יוצרות ארבעה צירופים, ורק אחד מהם נראה בריא.

כשזה נכשל, תנו קודם שם למנהרה

חידוש אישור מחשב ושחזור חשבון משתמש הם משימות שונות עם בעלים שונים. מנהרת מכשיר שנכשלת לאחר שאישור פג תוקף לא תתוקן באיפוס פרטי ההסמכה של המשתמש, ומנהרת משתמש שנכשלת לאחר שינוי סיסמה לא תתוקן בהוצאה מחדש של אישור המחשב.

תעדו איזו מנהרה הייתה פעילה, באיזו זהות השתמשה ואיזה שלב נכשל, ואז השוו זאת לדרישות המתועדות של המהדורה וסביבת הניהול שבשימוש. העתקה של אשף VPN גנרי ישן היא הדרך שבה פריסות מגיעות למנהרת מכשיר שעובדת רק עבור מנהלים.

סדר העבודה: תנו שם לרגע שבו התעבורה חייבת לזרום, בחרו את המנהרה שקיימת באותו רגע, הצרו את המסלולים שלה, בדקו כל שלב במחזור החיים בנפרד, והשאירו בנפרד את נהלי השחזור של שתי הזהויות.