Always On VPN bukan akses LAN: daftar periksa sumber daya

Always On adalah siklus hidup koneksi: profil terhubung saat atau sebelum masuk dan menyambung ulang tanpa pengguna menekan apa pun. Itu bukan berarti setiap tujuan privat, protokol, dan pengguna diizinkan. Pertanyaan praktisnya adalah sumber daya mana yang benar-benar dikirim profil yang diterapkan, dan jawabannya menuntut pemeriksaan per sumber daya, bukan pandangan pada lencana Connected.

Langkah 1: Catat sumber daya sebelum mengujinya

Mulailah dengan satu catatan singkat per aplikasi, diambil dari lingkungan nyata: nama, prefiks tujuan, layanan dan porta, peran terowongan, grup identitas, dan jalur resolver.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Catatan itu memaksa empat pertanyaan terpisah. Rute menentukan ke mana alamat pergi; kebijakan DNS menentukan bagaimana klien mengetahui alamat itu; filter lalu lintas menentukan apakah lalu lintas tersebut boleh memakai koneksi; firewall tujuan dan izin aplikasi menentukan apakah permintaan diterima. Tak satu pun dari keempatnya timbul dari terowongan yang terhubung.

Langkah 2: Tentukan terowongan mana yang harus membawanya

Windows Always On VPN memiliki terowongan perangkat dan terowongan pengguna, dikonfigurasi sebagai profil terpisah dengan sertifikat dan cakupan terpisah. Terowongan perangkat biasanya hanya membawa infrastruktur yang diperlukan sebelum masuk, seperti manajemen dan layanan domain; akses aplikasi yang luas bagi karyawan termasuk terowongan pengguna.

Filter lalu lintas adalah fitur terowongan perangkat, karena itu contoh Microsoft memakainya untuk lalu lintas manajemen. Menyalin contoh itu ke profil sumber daya umum memberi terowongan yang terhubung tetapi membawa kumpulan yang salah. Pastikan koneksi aktif dengan Get-VpnConnection dan uji di bawah koneksi itu.

Langkah 3: Verifikasi rute untuk alamat sebenarnya

Selesaikan nama sekali, lalu periksa rutenya: Find-NetRoute -RemoteIPAddress 10.20.5.10 melaporkan antarmuka yang dipilih, lompatan berikutnya, dan alamat sumber. Jika antarmukanya adaptor fisik, prefiks tidak ada dalam kumpulan rute terowongan atau klien mengecualikannya lewat terowongan terpisah. Bandingkan dengan definisi profil alih-alih menambahkan rute lokal.

route add lokal dapat membuat uji lolos dan hilang pada penyegaran kebijakan berikutnya, jadi perubahannya ada di profil terkelola. Periksa prefiks di profil pengguna dan perangkat, serta setelan terowongan terpisah: terowongan penuh tidak perlu rute per prefiks, terowongan terpisah perlu satu untuk setiap prefiks privat yang dibawanya.

Langkah 4: Uji resolusi nama privat secara terpisah

Nama privat punya jalur kebijakan sendiri. Profil dapat mengirim aturan NRPT dan daftar pencarian sufiks DNS, yang berlaku selama terowongan aktif. Baca dengan Get-DnsClientNrptPolicy apa yang benar-benar diterima klien, lalu uji satu nama dan satu alamat dalam sesi yang sama. Nama gagal sementara alamat berfungsi menunjuk ke resolver; keduanya gagal menunjuk ke rute.

Nama juga bisa diselesaikan ke alamat di luar rute terowongan, yang mencampur keberhasilan dan batas waktu. Bandingkan alamat yang dikembalikan dengan prefiks di catatan Anda; jika berbeda, zona privat menjawab dengan alamat publik atau alternatif dan rute yang cocok bukan yang dirancang.

Langkah 5: Periksa filter, identitas, dan gerbang aplikasi itu sendiri

Filter lalu lintas membatasi protokol dan porta mana yang boleh memakai terowongan perangkat, dan kumpulan sempit dapat memblokir sumber daya yang seharusnya dibawa rute. Profil menetapkan koneksi ke grup, tetapi sumber daya punya otorisasinya sendiri: pengguna yang bisa terhubung tidak otomatis diterima server berkas.

Ubah profil terkelola lewat pemiliknya, entah Intune, penerapan ProfileXML, atau skrip operasi, lalu uji ulang setelah menyambung ulang normal dan setelah mulai ulang: kegagalan lazimnya rute lokal yang basi atau profil yang hanya diterapkan sekali. Simpan versi profil di samping hasil uji.