Windows Always On VPN ішінде құрылғы туннелі ме, әлде пайдаланушы туннелі ме?

Кіру экранынан басқару серверіне жетуі керек ноутбук пен пайдаланушы аутентификацияланғаннан кейін файлдық ортақтасуларға жетуі керек ноутбук — екі түрлі мәселе. Windows оларды екі түрлі туннельмен шешеді, ал айырмашылық профильдер тізімінде қайсысы көрінетінінде емес. Құрылғы туннелі машина ретінде жұмыс істейді, әлдекім кірмес бұрын. Пайдаланушы туннелі адам ретінде жұмыс істейді, платформаның жұмыс істейтін идентификациясы болғаннан кейін. Екеуінің арасында таңдау трафиктің ағуға тиіс сәтінен басталады, жетуге тиіс ресурстардан емес.

Екі идентификация, екі сәт

Құрылғы туннелі машина контекстінде орнатылады, сондықтан ол пайдаланушыны аутентификациялау үшін қажет трафикті немесе басқару агенттерінің кіруге дейін хабарлауын тасымалдай алады. Пайдаланушы туннелі пайдаланушы контекстінде, кіргеннен кейін, пайдаланушының тіркелгі деректерімен және сол тіркелгіге қолданылатын саясатпен орнатылады.

Осы уақыт айырмашылығы — бүкіл дизайн. Қалғанының бәрі содан туындайды, соның ішінде қандай аутентификация әдістері қолжетімді және қандай ресурстардың мәні бар екені.

Егер талап кірген адам пайдаланатын іскерлік қосымша болса, пайдаланушы туннелі соған жауап береді. Егер талап кіру экранынан қолжетімді домен контроллері, сертификат органы немесе басқару қызметі болса, тек құрылғы туннелі жеткілікті ерте.

Телефон кітапшасы айырмашылық емес

Барлық пайдаланушылардың телефон кітапшасына жергілікті профильді сақтау құрылғы туннелін жасамайды. Профиль машинадағы әр пайдаланушыға қолжетімді болады, бұл сақтау ауқымының мәселесі, және ол әлі де пайдаланушы контекстінде қосылады.

Нағыз құрылғы туннелі дәл солай конфигурацияланады, Microsoft ол үшін құжаттайтын платформа, хаттама және сертификат талаптарымен. Бұл талаптарға мыналар кіреді: оны қолдайтын шығарылым, доменге қосылған құрылғы, IKEv2 және машина сертификатымен аутентификациялау. Пайдаланушы туннелінен көшіріліп, аты өзгертілген device атты профиль бұлардың ешқайсысын қанағаттандырмайды.

Microsoft-тың құрылғы туннелі туралы құжаттамасы профиль пішінінің анықтамасы болып табылады және жұмыс істеп тұрған пайдаланушы профилін қайта пайдалануға болады деп есептемес бұрын оны оқыған жөн.

Әр жолды тар ұстаңыз

Құрылғы туннелі тек машинаға кіруге дейін қажет нәрселерге жетуі керек: каталог, сертификат органы, басқару соңғы нүктесі және оларды шешетін DNS жазбалары. Оның маршруттары мен қауіпсіздік қабырғасы ережелері толық корпоративтік ауқымды емес, осы қысқа тізімді көрсетуі керек.

Пайдаланушы туннелі адамның рұқсатын тасымалдайды және енгізу талап еткендей топ, қосымша немесе межелі орын бойынша шектелуі мүмкін. Екі ауқымды араластыру — кіруге дейінгі туннельдің ешбір машина тіркелгісінде болмауы тиіс файлдық ортақтасуға рұқсат алу тәсілі.

Екі туннельді бірге енгізуге болады және көптеген Always On дизайндарында солай жасалады. Құрылғы туннелі бірінші көтеріліп, тар күйінде қалады. Пайдаланушы туннелі кіру кезінде көтеріліп, жұмыс трафигін тасымалдайды. Егер тек біреуін енгізсеңіз, қандай ақаумен өмір сүре алатыныңызды шешіңіз. Желісіз кіру экраны да, басқару трафигін тасымалдайтын пайдаланушы туннелі де нашар, бірақ әдетте сіздің ортада олардың тек біреуі ғана қолайлы.

Кезеңді тексеріңіз, браузерді емес

Кіргеннен кейінгі сәтті браузер сұранысы пайдаланушы туннелін дәлелдейді және құрылғы туннелі туралы ештеңе айтпайды. Кезеңдерді бөлек тексеріңіз: суық іске қосылудан кіру экранына дейін, кірудің өзі, пайдаланушы қосылымы және ұйқыдан немесе желі өзгерісінен кейінгі қалпына келу.

Кіру экранында тексеру — машина ешбір пайдаланушы кірмей-ақ басқару соңғы нүктесіне жете ала ма. Бұл құрылғы туннелі жалғыз өзі болатын жалғыз сәт, және адамдар оны қайта жүктеу қажет болғандықтан өткізіп жіберетін кезең.

Кіргеннен кейін пайдаланушы туннелін бөлек тексеріңіз, соның ішінде құрылғы туннелі жұмыс істеп тұрған, бірақ пайдаланушы туннелі істен шыққан жағдайды. Екі күйі бар екі туннель төрт комбинация береді және олардың тек біреуі ғана сау көрінеді.

Істен шыққанда, алдымен туннельді атаңыз

Машина сертификатын жаңарту және пайдаланушы тіркелгісін қалпына келтіру — әртүрлі иелері бар әртүрлі міндеттер. Сертификат мерзімі біткеннен кейін істен шыққан құрылғы туннелі пайдаланушының тіркелгі деректерін қалпына келтірумен түзелмейді, ал құпия сөз өзгергеннен кейін істен шыққан пайдаланушы туннелі машина сертификатын қайта берумен түзелмейді.

Қай туннель белсенді болғанын, қандай идентификация қолданғанын және қай кезең істен шыққанын жазып алыңыз, содан кейін оны пайдаланылып жатқан шығарылым мен басқару ортасының құжатталған талаптарымен салыстырыңыз. Ескі жалпы VPN шеберін көшіру — енгізулердің тек әкімшілерге жұмыс істейтін құрылғы туннелімен аяқталу тәсілі.

Жұмыс тәртібі: трафиктің ағуға тиіс сәтін атаңыз, сол сәтте бар туннельді таңдаңыз, оның маршруттарын тарылтыңыз, өмірлік циклдің әр кезеңін бөлек тексеріңіз және екі идентификацияның қалпына келтіру рәсімдерін бөлек ұстаңыз.