Always On VPN — бұл LAN-ға қатынау емес: ресурстарды тексеру тізімі

Always On — бұл қосылымның өмірлік циклі: профиль жүйеге кіру кезінде немесе одан бұрын қосылады және пайдаланушы ештеңе баспай-ақ қайта қосылады. Бұл әрбір жеке тағайындауға, хаттамаға және пайдаланушыға рұқсат бар дегенді білдірмейді. Практикалық сұрақ — орналастырылған профиль шын мәнінде қандай ресурстарды жеткізеді, және бұл жауап Connected белгісіне қарауды емес, әр ресурсты жеке тексеруді талап етеді.

1-қадам: Ресурсты тексеруден бұрын жазып алыңыз

Әр қолданба үшін қысқа жазбадан бастаңыз, мәндер нақты ортадан алынсын: атауы, тағайындау префиксі, қызмет және порт, туннель рөлі, сәйкестік тобы және шешуші жолы.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Жазба төрт бөлек сұрақты міндеттейді. Маршрут мекенжайдың қайда кететінін шешеді; DNS саясаты клиент мекенжайды қалай білетінін шешеді; трафик сүзгісі бұл трафиктің қосылымды пайдалана алатынын шешеді; тағайындаудың firewall-ы мен қолданба рұқсаттары сұраныстың қабылданатынын шешеді. Осы төрттің ешқайсысы қосылған туннельден туындамайды.

2-қадам: Оны қай туннель тасуы керектігін анықтаңыз

Windows Always On VPN-де құрылғы туннелі және пайдаланушы туннелі бар, олар жеке сертификаттар мен ауқымдармен жеке профильдер ретінде конфигурацияланады. Құрылғы туннелі әдетте кіруге дейін қажет инфрақұрылымды ғана тасиды, мысалы басқару және домен қызметтері; қызметкерлердің кең қолданбаға қатынауы пайдаланушы туннеліне жатады.

Трафик сүзгілері құрылғы туннелінің мүмкіндігі, сондықтан Microsoft мысалы оларды басқару трафигіне пайдаланады. Сол мысалды жалпы ресурс профиліне көшіру қосылатын, бірақ дұрыс емес жиынды таситын туннель береді. Белсенді қосылымды Get-VpnConnection арқылы растап, сол қосылым астында тексеріңіз.

3-қадам: Нақты мекенжай үшін маршрутты тексеріңіз

Атауды бір рет шешіп, содан кейін маршрутты қараңыз: Find-NetRoute -RemoteIPAddress 10.20.5.10 таңдалған интерфейсті, келесі секірісті және бастау көзі мекенжайын көрсетеді. Интерфейс физикалық адаптер болса, префикс туннельдің маршрут жиынында жоқ немесе клиент оны бөлінген туннель арқылы шығарып тастаған. Жергілікті маршрут қосудың орнына профиль анықтамасымен салыстырыңыз.

Жергілікті route add тесті өткізіп, келесі саясат жаңартуында жоғалып кетуі мүмкін, сондықтан өзгеріс басқарылатын профильге тиесілі. Префиксті пайдаланушы және құрылғы профилінде тексеріңіз, бөлінген туннель параметрін де қараңыз: толық туннельге префикс сайын маршрут қажет емес, бөлінген туннельге таситын әрбір жеке префикс үшін біреуі қажет.

4-қадам: Жеке атауларды шешуді бөлек тексеріңіз

Жеке атаулардың өз саясат жолы бар. Профиль NRPT ережелері мен DNS жұрнақ іздеу тізімін жеткізе алады, олар туннель қосылып тұрғанша жарамды. Клиент шын мәнінде не алғанын Get-DnsClientNrptPolicy арқылы оқып, содан кейін сол сессияда атау мен мекенжайды тексеріңіз. Мекенжайлар жұмыс істеп, атаулар құласа — шешуші; екеуі де құласа — маршрут.

Атау туннель маршруттарынан тыс мекенжайға да шешілуі мүмкін, бұл сәттілік пен уақыттың бітуін араластырады. Қайтарылған мекенжайды жазбаңыздағы префикспен салыстырыңыз; олар өзгеше болса, жеке аймақ жария немесе балама мекенжаймен жауап береді және сәйкес келген маршрут жобаланған маршрут емес.

5-қадам: Сүзгілерді, сәйкестікті және қолданбаның өз қақпасын тексеріңіз

Трафик сүзгілері қай хаттамалар мен порттар құрылғы туннелін пайдалана алатынын шектейді, ал тар жиын маршрут таситын ресурсты бөгеп тастауы мүмкін. Профиль қосылымды топқа тағайындайды, бірақ ресурстың өз рұқсаты бар: қосыла алатын пайдаланушы файлдық сервермен автоматты түрде қабылдана бермейді.

Басқарылатын профильді оның иесі арқылы өзгертіңіз, ол Intune болсын, ProfileXML орналастыруы немесе операциялық скрипт болсын, содан кейін қалыпты қайта қосылудан және қайта жүктеуден кейін қайта тексеріңіз: әдеттегі ақау — ескірген жергілікті маршрут немесе бір рет қолданылған профиль. Профиль нұсқасын тест нәтижесінің қасында ұстаңыз.