Eszközalagút vagy felhasználói alagút a Windows Always On VPN-ben?

Egy laptop, amelynek a bejelentkezési képernyőről el kell érnie egy felügyeleti kiszolgálót, és egy laptop, amelynek a felhasználó hitelesítése után fájlmegosztásokat kell elérnie, két különböző probléma. A Windows két különböző alagúttal oldja meg őket, és a különbség nem az, hogy melyik jelenik meg a profilok listáján. Az eszközalagút gépként fut, még mielőtt bárki bejelentkezne. A felhasználói alagút személyként fut, miután a platformnak van identitása, amellyel dolgozhat. A kettő közötti választás annál a pillanatnál kezdődik, amikor a forgalomnak folynia kell, nem azoknál az erőforrásoknál, amelyeket el kell érnie.

Két identitás, két pillanat

Az eszközalagút gépkörnyezetben épül fel, ezért hordozhatja a felhasználó hitelesítéséhez szükséges forgalmat, vagy azt, hogy a felügyeleti ügynökök a bejelentkezés előtt jelentkezzenek. A felhasználói alagút felhasználói környezetben épül fel, a bejelentkezés után, a felhasználó hitelesítő adataival és azzal a szabályzattal, amely arra a fiókra vonatkozik.

Ez az időbeli különbség az egész tervezés. Minden más ebből következik, beleértve azt is, hogy mely hitelesítési módszerek érhetők el és mely erőforrásoknak van értelme.

Ha a követelmény egy bejelentkezett személy által használt üzleti alkalmazás, arra a felhasználói alagút válaszol. Ha a követelmény tartományvezérlő, tanúsító hatóság vagy felügyeleti szolgáltatás, amely a bejelentkezési képernyőről elérhető, csak az eszközalagút elég korai.

A telefonkönyv nem a megkülönböztetés

Egy natív profil mentése a minden felhasználó telefonkönyvébe nem hoz létre eszközalagutat. A profil minden felhasználó számára elérhetővé válik a gépen, ami tárolási hatókör kérdése, és továbbra is felhasználói környezetben kapcsolódik.

Egy valódi eszközalagút éppen ilyenként van beállítva, azokkal a platform-, protokoll- és tanúsítványkövetelményekkel, amelyeket a Microsoft dokumentál hozzá. Ezek a követelmények magukban foglalják az őt támogató kiadást, a tartományhoz csatlakoztatott eszközt, az IKEv2-t és a gépi tanúsítványos hitelesítést. Egy device nevű, felhasználói alagútból másolt és átnevezett profil ezek közül semmit nem teljesít.

A Microsoft eszközalagút-dokumentációja a profil formájának referenciája, és érdemes elolvasni, mielőtt feltételeznénk, hogy egy működő felhasználói profil újrahasznosítható.

Tartsa szűken az útvonalakat

Az eszközalagútnak csak azt kellene elérnie, amire a gépnek a bejelentkezés előtt szüksége van: a könyvtárat, a tanúsító hatóságot, a felügyeleti végpontot és az ezeket feloldó DNS-rekordokat. Az útvonalainak és tűzfalszabályainak ezt a rövid listát kellene tükrözniük, nem a teljes vállalati tartományt.

A felhasználói alagút a személy hozzáférését hordozza, és csoport, alkalmazás vagy cél szerint szűkíthető, ahogy a bevezetés megkívánja. A két hatókör keverése az, ahogy egy bejelentkezés előtti alagút olyan fájlmegosztás-hozzáférést kap, amellyel egyetlen gépfióknak sem szabadna rendelkeznie.

Mindkét alagút telepíthető együtt, és a legtöbb Always On tervezésben ez történik. Az eszközalagút előbb indul fel, és szűk marad. A felhasználói alagút bejelentkezéskor indul fel, és a munkafogalmat hordozza. Ha csak az egyiket telepíti, döntse el, melyik hibával tud együtt élni. A hálózat nélküli bejelentkezési képernyő és a felügyeleti forgalmat hordozó felhasználói alagút is rossz, de általában csak az egyikük elfogadható a környezetében.

A szakaszt tesztelje, ne a böngészőt

Egy működő böngészőkérés a bejelentkezés után bizonyítja a felhasználói alagutat, és semmit nem mond az eszközalagútról. A szakaszokat külön tesztelje: hidegindítás a bejelentkezési képernyőig, maga a bejelentkezés, a felhasználói kapcsolat és a helyreállás alvás vagy hálózatváltás után.

A bejelentkezési képernyőn az ellenőrzés az, hogy a gép eléri-e a felügyeleti végpontot bejelentkezett felhasználó nélkül. Ez az egyetlen pillanat, amikor az eszközalagút önmagában létezik, és ez az a szakasz, amelyet az emberek kihagynak, mert teszteléséhez újraindítás kell.

A bejelentkezés után külön ellenőrizze a felhasználói alagutat, beleértve azt az esetet is, amikor az eszközalagút fut, de a felhasználói alagút meghibásodott. Két alagút két állapottal négy kombinációt ad, és csak az egyik tűnik egészségesnek.

Ha meghibásodik, először nevezze meg az alagutat

A gépi tanúsítvány megújítása és a felhasználói fiók helyreállítása különböző feladatok különböző felelősökkel. Egy eszközalagút, amely egy tanúsítvány lejárta után hibásodik meg, nem javul a felhasználó hitelesítő adatainak visszaállításától, és egy felhasználói alagút, amely jelszóváltozás után hibásodik meg, nem javul a gépi tanúsítvány újrakibocsátásától.

Jegyezze fel, melyik alagút volt aktív, milyen identitást használt és melyik szakasz hibásodott meg, majd hasonlítsa össze ezt a használt kiadásra és felügyeleti környezetre vonatkozó dokumentált követelményekkel. Egy régi általános VPN-varázsló másolása az, ahogy a bevezetések olyan eszközalagúthoz jutnak, amely csak rendszergazdáknak működik.

A munka sorrendje: nevezze meg a pillanatot, amikor a forgalomnak folynia kell, válassza ki az abban a pillanatban létező alagutat, szűkítse az útvonalait, tesztelje külön az életciklus minden szakaszát, és tartsa külön a két identitás helyreállítási eljárásait.