Tækjugöng eða notendagöng í Windows Always On VPN?

Fartölva sem þarf að ná í stjórnunarþjón frá innskráningarskjánum og fartölva sem þarf að ná í skráardeilingar eftir að notandinn hefur sannreynt sig eru tvö ólík vandamál. Windows leysir þau með tveimur ólíkum göngum, og munurinn er ekki hvor þeirra birtist á sniðlistanum. Tækjugöngin keyra sem vélin, áður en nokkur skráir sig inn. Notendagöngin keyra sem manneskjan, eftir að vettvangurinn hefur auðkenni til að vinna með. Valið á milli þeirra byrjar á augnablikinu þegar umferðin verður að streyma, ekki á auðlindunum sem hún þarf að ná í.

Tvö auðkenni, tvö augnablik

Tækjugöngin eru sett upp í samhengi vélarinnar, þess vegna geta þau borið þá umferð sem þarf til að sannreyna notanda eða til að láta stjórnunarumboðsmenn tilkynna sig fyrir innskráningu. Notendagöngin eru sett upp í samhengi notandans, eftir innskráningu, með skírteinum notandans og þeirri stefnu sem gildir fyrir þann reikning.

Sá tímunur er öll hönnunin. Allt annað leiðir af honum, þar á meðal hvaða sannreynsluaðferðir eru tiltækar og hvaða auðlindir hafa merkingu.

Ef krafan er viðskiptaforrit sem innskráð manneskja notar, svarar notendagöngin henni. Ef krafan er léni stjórnandi, vottunarstofnun eða stjórnunarþjónusta sem er aðgengileg frá innskráningarskjánum, eru aðeins tækjugöngin nógu snemma.

Símaskráin er ekki greinarmunurinn

Að vista upprunalegt snið í símaskrá allra notenda býr ekki til tækjugöng. Sniðið verður aðgengilegt hverjum notanda á vélinni, sem er spurning um geymsluumfang, og það tengist enn í samhengi notandans.

Raunveruleg tækjugöng eru stillt sem slík, með þeim kröfum um vettvang, samskiptareglur og vottorð sem Microsoft skjalfestir fyrir þau. Þessar kröfur fela í sér útgáfu sem styður þau, tæki sem er tengt léni, IKEv2 og sannreynslu með vélarvottorði. Snið sem heitir device, afritað úr notendagöngum og endurnefnt, uppfyllir ekkert af þessu.

Skjöl Microsoft um tækjugöngin eru viðmiðið fyrir lögun sniðsins, og það er þess virði að lesa þau áður en gert er ráð fyrir að hægt sé að endurnýta virkt notendasnið.

Haldið hverri leið þröngri

Tækjugöngin ættu aðeins að ná í það sem vélin þarf fyrir innskráningu: skráarsafnið, vottunarstofnunina, endapunkt stjórnunar og DNS-færslurnar sem leysa þau. Leiðir þeirra og eldveggsreglur ættu að endurspegla þann stutta lista frekar en allt fyrirtækjasviðið.

Notendagöngin bera aðgang manneskjunnar og hægt er að takmarka þau eftir hópi, forriti eða áfangastað eftir því sem uppsetningin krefst. Að blanda saman umfanginu tveimur er leiðin sem göng fyrir innskráningu fá aðgang að skráardeilingum sem ekkert vélarreikningur ætti nokkurn tíma að hafa.

Hægt er að setja bæði göngin upp saman, og í flestum Always On hönnunum er það gert. Tækjugöngin koma fyrst upp og haldast þröng. Notendagöngin koma upp við innskráningu og bera vinnuumferðina. Ef þið setjið aðeins upp annað, ákveðið hvaða bilun þið getið lifað með. Innskráningarskjár án nettengingar og notendagöng sem bera stjórnunarumferð eru bæði slæm, en venjulega er aðeins annað þeirra ásættanlegt í ykkar umhverfi.

Prófið stigið, ekki vafrann

Árangursrík vafrabeiðni eftir innskráningu sannar notendagöngin og segir ekkert um tækjugöngin. Prófið stigin sérstaklega: kaldræsingu að innskráningarskjá, innskráninguna sjálfa, tengingu notandans og endurheimt eftir svefn eða netbreytingu.

Á innskráningarskjánum er prófið hvort vélin nái endapunkti stjórnunar án þess að nokkur notandi sé innskráður. Það er eina augnablikið þegar tækjugöngin eru ein, og það er stigið sem fólk sleppir því að prófa það krefst endurræsingar.

Eftir innskráningu skal prófa notendagöngin sérstaklega, þar á meðal tilvikið þegar tækjugöngin eru uppi en notendagöngin mistókust. Tvö göng með tvo stöður gefa fjórar samsetningar, og aðeins ein þeirra lítur heilbrigð út.

Þegar það mistekst, nefnið göngin fyrst

Endurnýjun vélarvottorðs og endurheimt notendareiknings eru ólík verkefni með ólíka eigendur. Tækjugöng sem mistakast eftir að vottorð rennur út verða ekki lagað með því að endurstilla skírteini notandans, og notendagöng sem mistakast eftir lykilorðsbreytingu verða ekki lagað með því að gefa út vélarvottorðið aftur.

Skráið hvaða göng voru virk, hvaða auðkenni þau notuðu og hvaða stig mistókst, og berið það síðan saman við skjalfestar kröfur fyrir þá útgáfu og stjórnunarumhverfi sem er í notkun. Að afrita gamlan almennan VPN-leiðarvísi er leiðin sem uppsetningar enda með tækjugöng sem virka aðeins fyrir kerfisstjóra.

Vinnuferill: nefnið augnablikið þegar umferðin verður að streyma, veljið göngin sem eru til á þeim tíma, þrengið leiðir þeirra, prófið hvert stig lífsferilsins sérstaklega og haldið endurheimtaraðferðum auðkenna tveggja aðskildum.