Windows Always On VPN のデバイス トンネルとユーザー トンネルはどう選ぶか

サインイン画面から管理サーバーに到達する必要があるノート PC と、ユーザーの認証後にファイル共有に到達する必要があるノート PC は、別々の問題です。Windows はこの二つを別々のトンネルで解決しますが、違いはどちらがプロファイル一覧に表示されるかではありません。デバイス トンネルはマシンとして動作し、誰かがサインインする前から通信できます。ユーザー トンネルは人として動作し、プラットフォームが扱える ID を得た後に通信します。どちらを選ぶかは、通信が流れるべき瞬間から始まり、到達すべきリソースから始まるのではありません。

二つの ID、二つの瞬間

デバイス トンネルはマシン コンテキストで確立されるため、ユーザーの認証に必要な通信や、管理エージェントがサインイン前に報告するための通信を運べます。ユーザー トンネルはユーザー コンテキストで、サインイン後に、そのユーザーの資格情報とそのアカウントに適用されるポリシーとともに確立されます。

この時間差が設計のすべてです。認証方式として何が使えるか、どのリソースに意味があるかも、すべてそこから決まります。

サインイン済みの人が使う業務アプリケーションが要件なら、ユーザー トンネルが答えです。サインイン画面から到達できるドメイン コントローラー、証明機関、管理サービスが要件なら、デバイス トンネルだけが十分に早いと言えます。

電話帳は区別ではない

ネイティブ プロファイルを全ユーザーの電話帳に保存しても、デバイス トンネルにはなりません。プロファイルはそのマシンのすべてのユーザーが使えるようになりますが、これは保存範囲の話であり、接続は依然としてユーザー コンテキストで行われます。

本物のデバイス トンネルは、そうとして構成されます。Microsoft がそのために文書化しているプラットフォーム、プロトコル、証明書の要件を満たす必要があります。その要件には それをサポートするエディション、ドメイン参加済みのデバイス、IKEv2、マシン証明書による認証が含まれます。ユーザー トンネルからコピーして名前を変えただけの device というプロファイルは、そのどれも満たしません。

Microsoft の デバイス トンネルに関するドキュメント がプロファイルの形の基準であり、動作するユーザー プロファイルを流用できると考える前に読む価値があります。

経路は細く保つ

デバイス トンネルは、マシンがサインイン前に必要とするものだけに到達すべきです。ディレクトリ、証明機関、管理エンドポイント、そしてそれらを解決する DNS レコードです。そのルートとファイアウォール規則は、全社の範囲ではなく、この短い一覧を反映すべきです。

ユーザー トンネルはその人のアクセスを運び、展開の必要に応じてグループ、アプリケーション、宛先で絞り込めます。二つの範囲を混ぜると、サインイン前のトンネルが、どのマシン アカウントも持つべきでないファイル共有へのアクセスを手にすることになります。

両方のトンネルは同時に展開でき、ほとんどの Always On 設計ではそうしています。デバイス トンネルが先に上がり、細いまま保たれます。ユーザー トンネルはサインイン時に上がり、業務の通信を運びます。どちらか一方だけを展開するなら、どちらの障害なら許容できるかを決めてください。ネットワークのないサインイン画面も、管理通信を運ぶユーザー トンネルも、どちらも困りますが、通常はその環境で許容できるのは片方だけです。

ブラウザーではなく段階を試す

サインイン後にブラウザーで通信できても、証明できるのはユーザー トンネルだけで、デバイス トンネルについては何も分かりません。段階を分けて試してください。コールド スタートからサインイン画面まで、サインインそのもの、ユーザーの接続、スリープやネットワーク変更からの復帰です。

サインイン画面では、ユーザーが誰もサインインしていない状態でマシンが管理エンドポイントに到達できるかを確認します。デバイス トンネルが単独で存在するのはこの瞬間だけで、しかも再起動が必要なため、多くの人が飛ばしてしまう段階です。

サインイン後は、ユーザー トンネルを別に確認します。デバイス トンネルが上がっているのにユーザー トンネルが失敗している場合も含めます。二つのトンネルに二つの状態があれば四つの組み合わせになり、健全に見えるのはそのうち一つだけです。

失敗したら、まずトンネルを特定する

マシン証明書の更新とユーザー アカウントの復旧は、担当者の異なる別の作業です。証明書の有効期限切れで失敗したデバイス トンネルは、ユーザーの資格情報をリセットしても直りません。パスワード変更後に失敗したユーザー トンネルは、マシン証明書を再発行しても直りません。

どのトンネルが有効で、どの ID を使い、どの段階が失敗したかを記録し、使用中のエディションと管理環境について文書化された要件と照らし合わせます。古い汎用の VPN ウィザードをコピーすると、管理者にしか動かないデバイス トンネルができあがります。

作業の順序は、通信が流れるべき瞬間を特定し、その瞬間に存在するトンネルを選び、そのルートを絞り、ライフサイクルの各段階を個別に試し、二つの ID の復旧手順を分けておくことです。