Always On VPN은 LAN 액세스가 아닙니다: 리소스 점검 목록

Always On은 연결 수명 주기입니다. 프로필은 로그인 시점이나 그 이전에 연결되고 사용자가 아무것도 누르지 않아도 다시 연결됩니다. 그렇다고 모든 프라이빗 대상, 프로토콜, 사용자가 허용된다는 뜻은 아닙니다. 실제 질문은 배포된 프로필이 어떤 리소스를 정말 전달하는가이며, 그 답에는 Connected 배지를 보는 대신 리소스별 확인이 필요합니다.

1단계: 테스트하기 전에 리소스를 적어 두기

앱마다 짧은 기록 하나를 만들고 값은 실제 환경에서 가져옵니다. 이름, 대상 접두사, 서비스와 포트, 터널 역할, ID 그룹, 확인자 경로입니다.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

이 기록은 네 가지 질문을 분리합니다. 경로는 주소가 어디로 가는지 정하고, DNS 정책은 클라이언트가 주소를 어떻게 알게 되는지 정하며, 트래픽 필터는 그 트래픽이 연결을 쓸 수 있는지 정하고, 대상의 방화벽과 앱 권한은 요청이 수락되는지 정합니다. 네 가지 중 어느 것도 연결된 터널에서 따라 나오지 않습니다.

2단계: 어느 터널이 전달해야 하는지 정하기

Windows Always On VPN에는 장치 터널과 사용자 터널이 있고, 서로 다른 인증서와 범위를 가진 별도 프로필로 구성됩니다. 장치 터널은 보통 로그인 전에 필요한 관리와 도메인 서비스 같은 기반만 전달합니다. 직원의 폭넓은 앱 액세스는 사용자 터널에 속합니다.

트래픽 필터는 장치 터널의 기능이므로 Microsoft 예제가 관리 트래픽에 그것을 사용합니다. 그 예제를 일반 리소스 프로필에 복사하면 연결은 되지만 잘못된 집합을 전달합니다. Get-VpnConnection로 활성 연결을 확인하고 그 연결 아래에서 테스트하세요.

3단계: 실제 주소에 대한 경로 확인하기

이름을 한 번 확인한 다음 경로를 봅니다. Find-NetRoute -RemoteIPAddress 10.20.5.10는 선택된 인터페이스, 다음 홉, 원본 주소를 보고합니다. 인터페이스가 물리 어댑터라면 접두사가 터널 경로 집합에 없거나 클라이언트가 분할 터널로 제외한 것입니다. 로컬 경로를 추가하지 말고 프로필 정의와 비교하세요.

로컬 route add는 테스트를 통과시키고 다음 정책 새로 고침에서 사라질 수 있으므로 변경은 관리되는 프로필에 들어가야 합니다. 사용자 프로필과 장치 프로필 양쪽에서 접두사를 확인하고 분할 터널 설정도 보세요. 전체 터널은 접두사별 경로가 필요 없고, 분할 터널은 전달하는 프라이빗 접두사마다 하나가 필요합니다.

4단계: 프라이빗 이름 확인을 따로 테스트하기

프라이빗 이름은 자체 정책 경로를 가집니다. 프로필은 NRPT 규칙과 DNS 접미사 검색 목록을 전달할 수 있고, 이는 터널이 올라와 있는 동안 유효합니다. Get-DnsClientNrptPolicy로 클라이언트가 실제로 받은 내용을 읽고 같은 세션에서 이름과 주소를 테스트하세요. 주소는 되는데 이름이 실패하면 확인자이고, 둘 다 실패하면 경로입니다.

이름이 터널 경로 밖의 주소로 확인될 수도 있어 성공과 시간 초과가 섞입니다. 돌아온 주소를 기록의 접두사와 비교하세요. 다르다면 프라이빗 영역이 공용 또는 대체 주소로 응답하는 것이고 일치한 경로는 설계한 경로가 아닙니다.

5단계: 필터, ID, 앱 자체의 관문 확인하기

트래픽 필터는 어떤 프로토콜과 포트가 장치 터널을 쓸 수 있는지 제한하며, 좁은 집합은 경로가 전달할 리소스를 막을 수 있습니다. 프로필은 연결을 그룹에 할당하지만 리소스에는 자체 권한이 있습니다. 연결할 수 있는 사용자가 파일 서버에 자동으로 받아들여지는 것은 아닙니다.

관리되는 프로필은 Intune, ProfileXML 배포, 운영 스크립트 중 무엇이든 소유자를 통해 변경하고, 정상 재연결 후와 재부팅 후에 다시 테스트하세요. 흔한 실패는 오래된 로컬 경로나 한 번만 적용된 프로필입니다. 프로필 버전을 테스트 결과 옆에 남기세요.