Az Always On VPN nem LAN-hozzáférés: erőforrás-ellenőrzőlista

Az Always On a kapcsolat életciklusa: a profil bejelentkezéskor vagy előtte csatlakozik, és újracsatlakozik anélkül, hogy a felhasználó bármit is megnyomna. Ez nem jelenti azt, hogy minden privát cél, protokoll és felhasználó engedélyezett. A gyakorlati kérdés az, hogy a telepített profil valójában mely erőforrásokat szolgáltatja, és ehhez erőforrásonkénti ellenőrzés kell, nem a Connected jelvényre pillantás.

1. lépés: Írja fel az erőforrást, mielőtt teszteli

Kezdje egy rövid rekorddal alkalmazásonként, a valós környezetből: név, cél-előtag, szolgáltatás és port, az alagút szerepe, identitáscsoport és a feloldó útvonala.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

A rekord négy külön kérdést kényszerít ki. Az útvonal dönti el, hová megy a cím; a DNS-házirend dönti el, hogyan tudja meg a kliens a címet; a forgalomszűrő dönti el, használhatja-e ez a forgalom a kapcsolatot; a cél tűzfala és az alkalmazás jogosultságai döntik el, elfogadják-e a kérést. Ezek egyike sem következik egy csatlakozott alagútból.

2. lépés: Határozza meg, melyik alagútnak kell szállítania

A Windows Always On VPN eszköz- és felhasználói alagúttal rendelkezik, amelyek külön profilként, külön tanúsítványokkal és hatókörökkel konfigurálhatók. Az eszközalagút általában csak a bejelentkezés előtt szükséges infrastruktúrát szállítja, például a felügyeletet és a tartományi szolgáltatásokat; az alkalmazottak széles alkalmazás-hozzáférése a felhasználói alagúthoz tartozik.

A forgalomszűrők az eszközalagút funkciói, ezért használja a Microsoft példája őket felügyeleti forgalomra. Ha ezt a példát egy általános erőforrásprofilba másolja, olyan alagutat kap, amely csatlakozik, de rossz halmazt szállít. Erősítse meg az aktív kapcsolatot a Get-VpnConnection paranccsal, és azon kapcsolat alatt teszteljen.

3. lépés: Ellenőrizze az útvonalat a valódi címhez

Oldja fel a nevet egyszer, majd ellenőrizze az útvonalat: a Find-NetRoute -RemoteIPAddress 10.20.5.10 megmutatja a kiválasztott illesztőt, a következő ugrást és a forráscímet. Ha az illesztő a fizikai adapter, az előtag hiányzik az alagút útvonalhalmazából, vagy a kliens osztott alagúttal kizárta. Hasonlítsa össze a profil definíciójával, ahelyett hogy helyi útvonalat adna hozzá.

Egy helyi route add sikeressé teheti a tesztet, majd eltűnhet a következő házirend-frissítéskor, ezért a módosítás a felügyelt profilba tartozik. Ellenőrizze az előtagot a felhasználói és az eszközprofilban is, valamint az osztott alagút beállítását: a teljes alagútnak nem kell előtagonkénti útvonal, az osztottnak igen, minden szállított privát előtaghoz.

4. lépés: Tesztelje külön a privát névfeloldást

A privát nevek saját házirend-útvonallal rendelkeznek. A profil NRPT-szabályokat és DNS-utótag keresőlistát szolgáltathat, amelyek az alagút fennállása alatt érvényesek. Olvassa ki a Get-DnsClientNrptPolicy paranccsal, mit kapott valójában a kliens, majd teszteljen egy nevet és egy címet ugyanabban a munkamenetben. Ha a nevek elbuknak, miközben a címek működnek, a feloldó a hibás; ha mindkettő, akkor az útvonal.

A név olyan címre is feloldódhat, amely kívül esik az alagút útvonalain, ami sikert és időtúllépést kever. Hasonlítsa össze a visszakapott címet a rekordjában szereplő előtaggal; ha eltérnek, a privát zóna nyilvános vagy alternatív címmel válaszol, és az egyező útvonal nem a tervezett.

5. lépés: Ellenőrizze a szűrőket, az identitást és az alkalmazás saját kapuját

A forgalomszűrők korlátozzák, mely protokollok és portok használhatják az eszközalagutat, és egy szűk halmaz blokkolhat egy erőforrást, amelyet az útvonal szállítana. A profil a kapcsolatot egy csoporthoz rendeli, de az erőforrásnak saját jogosultsága van: a csatlakozni képes felhasználót nem fogadja el automatikusan a fájlszerver.

A felügyelt profilt a tulajdonosán keresztül módosítsa, legyen az Intune, ProfileXML-telepítés vagy üzemeltetési szkript, majd teszteljen újra egy normál újracsatlakozás és egy újraindítás után: a szokásos hiba egy elavult helyi útvonal vagy egy egyszer alkalmazott profil. Tartsa a profil verzióját a teszt eredménye mellett.