Tunel uređaja ili tunel korisnika u Windows Always On VPN-u?

Prijenosno računalo koje s ekrana za prijavu mora dohvatiti poslužitelj za upravljanje i prijenosno računalo koje nakon korisničke provjere identiteta mora dohvatiti mrežne mape dva su različita problema. Windows ih rješava dvama različitim tunelima, a razlika nije u tome koji se od njih pojavljuje na popisu profila. Tunel uređaja radi kao računalo, prije nego što se itko prijavi. Tunel korisnika radi kao osoba, nakon što platforma dobije identitet s kojim može raditi. Odabir između njih počinje trenutkom u kojem promet mora teći, a ne resursima koje mora dohvatiti.

Dva identiteta, dva trenutka

Tunel uređaja uspostavlja se u kontekstu računala, zato može nositi promet potreban za provjeru identiteta korisnika ili za to da se agenti za upravljanje jave prije prijave. Tunel korisnika uspostavlja se u kontekstu korisnika, nakon prijave, s korisničkim vjerodajnicama i pravilnikom koji se primjenjuje na taj račun.

Ta vremenska razlika jest cijeli dizajn. Sve ostalo iz nje slijedi, uključujući to koje su metode provjere identiteta dostupne i koji resursi imaju smisla.

Ako je zahtjev poslovna aplikacija koju rabi prijavljena osoba, na njega odgovara tunel korisnika. Ako je zahtjev kontroler domene, ustanova za izdavanje certifikata ili usluga upravljanja dostupna s ekrana za prijavu, dovoljno je rano samo tunel uređaja.

Imenik nije razlika

Spremanje izvornog profila u imenik svih korisnika ne stvara tunel uređaja. Profil postaje dostupan svakom korisniku na računalu, što je pitanje opsega pohrane, i dalje se povezuje u kontekstu korisnika.

Pravi tunel uređaja tako se i konfigurira, uz zahtjeve za platformu, protokol i certifikat koje Microsoft dokumentira za njega. Ti zahtjevi uključuju izdanje koje ga podržava, računalo pridruženo domeni, IKEv2 i provjeru identiteta certifikatom računala. Profil nazvan device, kopiran iz tunela korisnika i preimenovan, ne zadovoljava ništa od toga.

Microsoftova dokumentacija o tunelu uređaja referenca je za oblik profila i vrijedi je pročitati prije nego što pretpostavite da se radni korisnički profil može ponovno upotrijebiti.

Neka svaki put bude uzak

Tunel uređaja trebao bi dosegnuti samo ono što računalo treba prije prijave: direktorij, ustanovu za izdavanje certifikata, završnu točku upravljanja i DNS zapise koji ih razrješavaju. Njegove rute i pravila vatrozida trebaju odražavati taj kratki popis, a ne cijeli korporativni raspon.

Tunel korisnika nosi pristup osobe i može se ograničiti skupinom, aplikacijom ili odredištem kako uvođenje zahtijeva. Miješanje dvaju opsega način je na koji tunel prije prijave dobije pristup mrežnim mapama koji nijedan račun računala ne bi smio imati.

Oba tunela mogu se uvesti zajedno i u većini Always On dizajna to se i čini. Tunel uređaja podiže se prvi i ostaje uzak. Tunel korisnika podiže se pri prijavi i nosi radni promet. Ako uvozite samo jedan, odlučite s kojim kvarom možete živjeti. Ekran za prijavu bez mreže i tunel korisnika koji nosi promet upravljanja oboje su loši, ali obično je samo jedan od njih prihvatljiv u vašem okruženju.

Testirajte fazu, a ne preglednik

Uspješan zahtjev preglednika nakon prijave dokazuje tunel korisnika i ne govori ništa o tunelu uređaja. Testirajte faze zasebno: hladno pokretanje do ekrana za prijavu, sama prijava, korisnička veza i oporavak nakon mirovanja ili promjene mreže.

Na ekranu za prijavu provjera je može li računalo dohvatiti završnu točku upravljanja bez prijavljenog korisnika. To je jedini trenutak u kojem tunel uređaja postoji sam, i to je faza koju ljudi preskaču jer njezino testiranje zahtijeva ponovno pokretanje.

Nakon prijave zasebno provjerite tunel korisnika, uključujući slučaj u kojem je tunel uređaja aktivan, a tunel korisnika nije uspio. Dva tunela s dvama stanjima daju četiri kombinacije i samo jedna od njih izgleda zdravo.

Kad zakaže, prvo imenujte tunel

Obnova certifikata računala i oporavak korisničkog računa različiti su poslovi s različitim vlasnicima. Tunel uređaja koji zakaže nakon isteka certifikata neće se popraviti resetiranjem korisničkih vjerodajnica, a tunel korisnika koji zakaže nakon promjene zaporke neće se popraviti ponovnim izdavanjem certifikata računala.

Zabilježite koji je tunel bio aktivan, koji je identitet rabio i koja je faza zakazala, zatim to usporedite s dokumentiranim zahtjevima za izdanje i okruženje upravljanja koje se rabi. Kopiranje starog generičkog čarobnjaka za VPN način je na koji uvođenja završe s tunelom uređaja koji radi samo za administratore.

Redoslijed rada: imenujte trenutak u kojem promet mora teći, odaberite tunel koji u tom trenutku postoji, suzite njegove rute, testirajte svaku fazu životnog ciklusa zasebno i držite postupke oporavka dvaju identiteta odvojenima.