Tunnel perangkat atau tunnel pengguna di Windows Always On VPN?

Laptop yang harus menjangkau server manajemen dari layar masuk dan laptop yang harus menjangkau berbagi pakai setelah pengguna terautentikasi adalah dua masalah berbeda. Windows menyelesaikannya dengan dua tunnel berbeda, dan bedanya bukan yang mana muncul di daftar profil. Tunnel perangkat berjalan sebagai mesin, sebelum siapa pun masuk. Tunnel pengguna berjalan sebagai orang, setelah platform memiliki identitas untuk diajak bekerja. Memilih di antara keduanya dimulai dari saat lalu lintas harus mengalir, bukan dari sumber daya yang harus dijangkau.

Dua identitas, dua saat

Tunnel perangkat dibentuk dalam konteks mesin, karena itu ia dapat membawa lalu lintas yang diperlukan untuk mengautentikasi pengguna atau agar agen manajemen melapor sebelum proses masuk. Tunnel pengguna dibentuk dalam konteks pengguna, setelah masuk, dengan kredensial pengguna dan kebijakan yang berlaku pada akun itu.

Selisih waktu itulah seluruh desainnya. Semua hal lain mengikutinya, termasuk metode autentikasi mana yang tersedia dan sumber daya mana yang masuk akal.

Jika kebutuhannya adalah aplikasi bisnis yang dipakai orang yang sudah masuk, tunnel pengguna yang menjawabnya. Jika kebutuhannya adalah pengontrol domain, otoritas sertifikat, atau layanan manajemen yang dapat dijangkau dari layar masuk, hanya tunnel perangkat yang cukup awal.

Buku telepon bukanlah pembedanya

Menyimpan profil asli ke buku telepon semua pengguna tidak membuat tunnel perangkat. Profil menjadi tersedia bagi setiap pengguna di mesin, yang merupakan soal cakupan penyimpanan, dan profil itu tetap terhubung dalam konteks pengguna.

Tunnel perangkat sungguhan dikonfigurasi sebagai demikian, dengan persyaratan platform, protokol, dan sertifikat yang didokumentasikan Microsoft untuknya. Persyaratan itu mencakup edisi yang mendukungnya, perangkat yang tergabung dalam domain, IKEv2, dan autentikasi sertifikat mesin. Profil bernama device, yang disalin dari tunnel pengguna lalu diganti namanya, tidak memenuhi satu pun dari itu.

Dokumentasi Microsoft tentang tunnel perangkat adalah acuan untuk bentuk profil, dan layak dibaca sebelum menganggap profil pengguna yang berfungsi dapat dipakai ulang.

Jaga setiap jalur tetap sempit

Tunnel perangkat seharusnya hanya menjangkau apa yang dibutuhkan mesin sebelum masuk: direktori, otoritas sertifikat, titik akhir manajemen, dan catatan DNS yang menyelesaikannya. Rute dan aturan firewall-nya harus mencerminkan daftar pendek itu, bukan seluruh rentang korporat.

Tunnel pengguna membawa akses orang dan dapat dibatasi per grup, aplikasi, atau tujuan sesuai kebutuhan penerapan. Mencampur kedua cakupan itulah cara tunnel sebelum masuk mendapat akses berbagi pakai yang tidak seharusnya dimiliki akun mesin mana pun.

Kedua tunnel dapat diterapkan bersama, dan pada sebagian besar desain Always On itulah yang dilakukan. Tunnel perangkat naik lebih dulu dan tetap sempit. Tunnel pengguna naik saat masuk dan membawa lalu lintas kerja. Jika hanya menerapkan satu, putuskan kegagalan mana yang bisa Anda tanggung. Layar masuk tanpa jaringan dan tunnel pengguna yang membawa lalu lintas manajemen keduanya buruk, tetapi biasanya hanya satu di antaranya yang dapat diterima di lingkungan Anda.

Uji tahapnya, bukan perambannya

Permintaan peramban yang berhasil setelah masuk membuktikan tunnel pengguna dan tidak mengatakan apa pun tentang tunnel perangkat. Uji tahapannya terpisah: mulai dingin sampai layar masuk, proses masuk itu sendiri, koneksi pengguna, dan pemulihan setelah tidur atau perubahan jaringan.

Di layar masuk, pemeriksaannya adalah apakah mesin dapat menjangkau titik akhir manajemen tanpa pengguna yang masuk. Itulah satu-satunya saat tunnel perangkat berdiri sendiri, dan itulah tahap yang dilewati orang karena mengujinya memerlukan mulai ulang.

Setelah masuk, periksa tunnel pengguna secara terpisah, termasuk kasus ketika tunnel perangkat hidup tetapi tunnel pengguna gagal. Dua tunnel dengan dua keadaan menghasilkan empat kombinasi, dan hanya satu di antaranya terlihat sehat.

Saat gagal, sebutkan dulu tunnel-nya

Pembaruan sertifikat mesin dan pemulihan akun pengguna adalah tugas berbeda dengan pemilik berbeda. Tunnel perangkat yang gagal setelah sertifikat kedaluwarsa tidak akan diperbaiki dengan mereset kredensial pengguna, dan tunnel pengguna yang gagal setelah kata sandi berubah tidak akan diperbaiki dengan menerbitkan ulang sertifikat mesin.

Catat tunnel mana yang aktif, identitas mana yang dipakainya, dan tahap mana yang gagal, lalu bandingkan dengan persyaratan terdokumentasi untuk edisi dan lingkungan manajemen yang dipakai. Menyalin wizard VPN generik lama adalah cara penerapan berakhir dengan tunnel perangkat yang hanya berfungsi bagi administrator.

Urutan kerja: sebutkan saat lalu lintas harus mengalir, pilih tunnel yang ada pada saat itu, sempitkan rutenya, uji setiap tahap siklus hidup secara terpisah, dan pisahkan prosedur pemulihan kedua identitas.