Սարքի թունել, թե՞ օգտվողի թունել Windows Always On VPN-ում

Նոութբուքը, որը մուտքի էկրանից պետք է հասնի կառավարման սերվերին, և նոութբուքը, որը օգտվողի նույնականացումից հետո պետք է հասնի ֆայլերի համօգտագործմանը, երկու տարբեր խնդիրներ են: Windows-ը լուծում է դրանք երկու տարբեր թունելներով, և տարբերությունը այն չէ, թե որն է հայտնվում պրոֆիլների ցանկում: Սարքի թունելն աշխատում է որպես մեքենա, նախքան որևէ մեկը կմուտք գործի: Օգտվողի թունելն աշխատում է որպես անձ, այն բանից հետո, երբ հարթակն ունի ինքնություն՝ աշխատելու համար: Նրանց միջև ընտրությունը սկսվում է այն պահից, երբ երթևեկությունը պետք է հոսի, ոչ թե այն ռեսուրսներից, որոնց պետք է հասնի:

Երկու ինքնություն, երկու պահ

Սարքի թունելը հաստատվում է մեքենայի համատեքստում, դրա համար էլ այն կարող է կրել օգտվողի նույնականացման համար անհրաժեշտ երթևեկությունը կամ թույլ տալ կառավարման գործակալներին գրանցվել մինչև մուտքը: Օգտվողի թունելը հաստատվում է օգտվողի համատեքստում, մուտքից հետո, օգտվողի հավատարմագրերով և այդ հաշվի վրա կիրառվող քաղաքականությամբ:

Ժամանակի այդ տարբերությունը ողջ ձևավորումն է: Մնացած ամեն ինչ բխում է դրանից, ներառյալ, թե որ նույնականացման մեթոդներն են հասանելի և որ ռեսուրսներն իմաստ ունեն:

Եթե պահանջը մուտք գործած անձի կողմից օգտագործվող գործարար հավելվածն է, օգտվողի թունելն է պատասխանում: Եթե պահանջը մուտքի էկրանից հասանելի տիրույթի կարգավորիչը, վկայագրային մարմինը կամ կառավարման ծառայությունն է, ապա բավական վաղ է միայն սարքի թունելը:

Հեռախոսագիրքը տարբերությունը չէ

Բոլոր օգտվողների հեռախոսագրքում բնիկ պրոֆիլ պահելը սարքի թունել չի ստեղծում: Պրոֆիլը հասանելի է դառնում մեքենայի յուրաքանչյուր օգտվողի համար, ինչը պահպանման ծավալի հարց է, և այն դեռ միանում է օգտվողի համատեքստում:

Իսկական սարքի թունելը հենց այդպես է կազմաձևվում՝ Microsoft-ի կողմից դրա համար փաստաթղթավորված հարթակի, արձանագրության և վկայագրի պահանջներով: Այդ պահանջները ներառում են այն աջակցող թողարկում, տիրույթին միացված սարք, IKEv2 և մեքենայի վկայագրով նույնականացում: device անունով պրոֆիլը, որը պատճենվել է օգտվողի թունելից և վերանվանվել, դրանցից ոչ մեկը չի բավարարում:

Microsoft-ի սարքի թունելի փաստաթղթերը պրոֆիլի ձևի հղումն են, և արժե կարդալ դրանք նախքան ենթադրելը, որ աշխատող օգտվողի պրոֆիլը կարող է կրկին օգտագործվել:

Պահեք յուրաքանչյուր ուղին նեղ

Սարքի թունելը պետք է հասնի միայն այն, ինչ մեքենային անհրաժեշտ է մինչև մուտքը՝ գրացուցակը, վկայագրային մարմինը, կառավարման վերջնակետը և դրանք լուծող DNS գրառումները: Դրա երթուղիները և հրե պատի կանոնները պետք է արտացոլեն այդ կարճ ցանկը, ոչ թե ամբողջ կորպորատիվ տիրույթը:

Օգտվողի թունելը կրում է անձի հասանելիությունը և կարող է սահմանափակվել ըստ խմբի, հավելվածի կամ նպատակակետի, ինչպես պահանջում է տեղաբաշխումը: Երկու ծավալները խառնելն է պատճառը, որ մուտքից առաջ թունելը ստանում է ֆայլերի համօգտագործման հասանելիություն, որը ոչ մի մեքենայի հաշիվ չպետք է ունենա:

Երկու թունելները կարելի է տեղաբաշխել միասին, և Always On-ի ձևավորումների մեծ մասում այդպես է արվում: Սարքի թունելը բարձրանում է առաջինը և մնում նեղ: Օգտվողի թունելը բարձրանում է մուտքի պահին և կրում աշխատանքային երթևեկությունը: Եթե տեղաբաշխեք միայն մեկը, որոշեք, թե որ ձախողման հետ կարող եք ապրել: Առանց ցանցի մուտքի էկրանը և կառավարման երթևեկություն կրող օգտվողի թունելը երկուսն էլ վատն են, բայց սովորաբար ձեր միջավայրում ընդունելի է դրանցից միայն մեկը:

Փորձարկեք փուլը, ոչ թե զննարկիչը

Մուտքից հետո հաջող զննարկիչի հարցումը ապացուցում է օգտվողի թունելը և ոչինչ չի ասում սարքի թունելի մասին: Փորձարկեք փուլերը առանձին՝ սառը մեկնարկից մինչև մուտքի էկրան, ինքը մուտքը, օգտվողի միացումը և վերականգնումը քնից կամ ցանցի փոփոխությունից հետո:

Մուտքի էկրանին ստուգումն այն է, թե արդյոք մեքենան կարող է հասնել կառավարման վերջնակետին առանց մուտք գործած օգտվողի: Դա միակ պահն է, երբ սարքի թունելը գոյություն ունի ինքնուրույն, և դա այն փուլն է, որը մարդիկ բաց են թողնում, որովհետև այն փորձարկելու համար վերագործարկում է պետք:

Մուտքից հետո առանձին ստուգեք օգտվողի թունելը, ներառյալ այն դեպքը, երբ սարքի թունելը բարձրացած է, բայց օգտվողի թունելը ձախողվել է: Երկու վիճակով երկու թունել տալիս է չորս համակցություն, և դրանցից միայն մեկն է առողջ տեսք ունենում:

Երբ ձախողվում է, նախ անվանեք թունելը

Մեքենայի վկայագրի թարմացումը և օգտվողի հաշվի վերականգնումը տարբեր խնդիրներ են տարբեր պատասխանատուներով: Վկայագրի ժամկետը լրանալուց հետո ձախողվող սարքի թունելը չի շտկվի օգտվողի հավատարմագրերը վերակայելով, և գաղտնաբառի փոփոխությունից հետո ձախողվող օգտվողի թունելը չի շտկվի մեքենայի վկայագիրը վերաթողարկելով:

Գրանցեք, թե որ թունելն էր ակտիվ, որ ինքնությունն էր օգտագործել և որ փուլն էր ձախողվել, ապա համեմատեք դա օգտագործվող թողարկման և կառավարման միջավայրի փաստաթղթավորված պահանջների հետ: Հին ընդհանուր VPN հրաշագործի պատճենումն է պատճառը, որ տեղաբաշխումները վերջանում են սարքի թունելով, որը աշխատում է միայն ադմինիստրատորների համար:

Աշխատանքի հերթականությունը՝ անվանեք այն պահը, երբ երթևեկությունը պետք է հոսի, ընտրեք այդ պահին գոյություն ունեցող թունելը, նեղացրեք դրա երթուղիները, առանձին փորձարկեք կյանքի ցիկլի յուրաքանչյուր փուլը և առանձին պահեք երկու ինքնությունների վերականգնման ընթացակարգերը: