Tunnel del dispositivo o tunnel dell’utente in Windows Always On VPN?

Un portatile che deve raggiungere un server di gestione dalla schermata di accesso e un portatile che deve raggiungere condivisioni file dopo l’autenticazione dell’utente sono due problemi diversi. Windows li risolve con due tunnel diversi, e la differenza non è quale dei due compare nell’elenco dei profili. Il tunnel del dispositivo viene eseguito come macchina, prima che chiunque acceda. Il tunnel dell’utente viene eseguito come persona, dopo che la piattaforma dispone di un’identità con cui lavorare. Scegliere tra i due parte dal momento in cui il traffico deve fluire, non dalle risorse che deve raggiungere.

Due identità, due momenti

Il tunnel del dispositivo si stabilisce nel contesto macchina, per questo può trasportare il traffico necessario ad autenticare un utente o a far sì che gli agenti di gestione si registrino prima dell’accesso. Il tunnel dell’utente si stabilisce nel contesto utente, dopo l’accesso, con le credenziali dell’utente e i criteri applicati a quell’account.

Questa differenza temporale è tutto il progetto. Tutto il resto ne deriva, compresi i metodi di autenticazione disponibili e le risorse che hanno senso.

Se il requisito è un’applicazione aziendale usata da una persona con accesso effettuato, risponde il tunnel dell’utente. Se il requisito è un controller di dominio, un’autorità di certificazione o un servizio di gestione raggiungibile dalla schermata di accesso, solo il tunnel del dispositivo è abbastanza precoce.

La rubrica non è la distinzione

Salvare un profilo nativo nella rubrica di tutti gli utenti non crea un tunnel del dispositivo. Il profilo diventa disponibile per ogni utente della macchina, il che è una questione di ambito di archiviazione, e continua a connettersi nel contesto utente.

Un vero tunnel del dispositivo viene configurato come tale, con i requisiti di piattaforma, protocollo e certificato che Microsoft documenta per esso. Questi requisiti includono un’edizione che lo supporta, un dispositivo aggiunto al dominio, IKEv2 e l’autenticazione con certificato macchina. Un profilo chiamato device, copiato da un tunnel dell’utente e rinominato, non soddisfa nulla di tutto ciò.

La documentazione Microsoft sul tunnel del dispositivo è il riferimento per la forma del profilo, e vale la pena leggerla prima di supporre che un profilo utente funzionante possa essere riutilizzato.

Tenete stretto ogni percorso

Il tunnel del dispositivo dovrebbe raggiungere solo ciò che serve alla macchina prima dell’accesso: la directory, l’autorità di certificazione, l’endpoint di gestione e i record DNS che li risolvono. Le sue route e le regole del firewall dovrebbero riflettere questo breve elenco e non l’intero intervallo aziendale.

Il tunnel dell’utente trasporta l’accesso della persona e può essere limitato per gruppo, applicazione o destinazione secondo le esigenze della distribuzione. Mescolare i due ambiti è il modo in cui un tunnel precedente all’accesso finisce con un accesso alle condivisioni file che nessun account macchina dovrebbe mai avere.

I due tunnel possono essere distribuiti insieme, e nella maggior parte delle progettazioni Always On è così. Il tunnel del dispositivo sale per primo e resta stretto. Il tunnel dell’utente sale all’accesso e trasporta il traffico di lavoro. Se ne distribuite uno solo, decidete con quale guasto potete convivere. Una schermata di accesso senza rete e un tunnel dell’utente che trasporta traffico di gestione sono entrambi negativi, ma di solito solo uno dei due è accettabile nel vostro ambiente.

Provate la fase, non il browser

Una richiesta del browser che funziona dopo l’accesso dimostra il tunnel dell’utente e non dice nulla sul tunnel del dispositivo. Provate le fasi separatamente: avvio a freddo fino alla schermata di accesso, l’accesso stesso, la connessione dell’utente e il ripristino dopo la sospensione o un cambio di rete.

Nella schermata di accesso, il controllo è se la macchina riesce a raggiungere l’endpoint di gestione senza alcun utente connesso. È l’unico momento in cui il tunnel del dispositivo esiste da solo, ed è la fase che le persone saltano perché provarla richiede un riavvio.

Dopo l’accesso, controllate il tunnel dell’utente separatamente, incluso il caso in cui il tunnel del dispositivo è attivo ma il tunnel dell’utente ha fallito. Due tunnel con due stati producono quattro combinazioni, e solo una di esse sembra sana.

Quando fallisce, nominate prima il tunnel

Il rinnovo del certificato macchina e il recupero dell’account utente sono attività diverse con proprietari diversi. Un tunnel del dispositivo che fallisce dopo la scadenza di un certificato non si riparerà reimpostando le credenziali dell’utente, e un tunnel dell’utente che fallisce dopo un cambio di password non si riparerà riemettendo il certificato macchina.

Annotate quale tunnel era attivo, quale identità usava e quale fase ha fallito, poi confrontate con i requisiti documentati per l’edizione e l’ambiente di gestione in uso. Copiare una vecchia procedura guidata VPN generica è il modo in cui le distribuzioni finiscono con un tunnel del dispositivo che funziona solo per gli amministratori.

Ordine di lavoro: nominate il momento in cui il traffico deve fluire, scegliete il tunnel che esiste in quel momento, restringete le sue route, provate ogni fase del ciclo di vita separatamente e tenete separati i procedimenti di recupero delle due identità.