Windows Always On VPN에서 장치 터널과 사용자 터널 중 무엇을 선택할까

로그인 화면에서 관리 서버에 도달해야 하는 노트북과 사용자가 인증된 뒤 파일 공유에 도달해야 하는 노트북은 서로 다른 문제입니다. Windows는 이 둘을 서로 다른 터널로 해결하며, 차이는 어느 쪽이 프로필 목록에 나타나는지가 아닙니다. 장치 터널은 머신으로 실행되며 누군가 로그인하기 전부터 동작합니다. 사용자 터널은 사용자로 실행되며 플랫폼이 작업할 수 있는 ID를 얻은 뒤에 동작합니다. 둘 중 하나를 고르는 일은 트래픽이 흘러야 하는 시점에서 시작하며, 도달해야 할 리소스에서 시작하지 않습니다.

두 ID, 두 시점

장치 터널은 머신 컨텍스트에서 설정되므로 사용자를 인증하는 데 필요한 트래픽을 전달하거나 관리 에이전트가 로그인 전에 보고하도록 할 수 있습니다. 사용자 터널은 사용자 컨텍스트에서, 로그인 후에, 해당 사용자의 자격 증명과 그 계정에 적용되는 정책으로 설정됩니다.

이 시간 차이가 설계의 전부입니다. 어떤 인증 방법을 쓸 수 있는지, 어떤 리소스가 의미 있는지도 모두 여기서 나옵니다.

요구 사항이 로그인한 사람이 쓰는 업무 응용 프로그램이라면 사용자 터널이 답입니다. 요구 사항이 로그인 화면에서 도달할 수 있는 도메인 컨트롤러, 인증 기관 또는 관리 서비스라면 장치 터널만이 충분히 이릅니다.

전화 번호부는 구분 기준이 아니다

네이티브 프로필을 모든 사용자 전화 번호부에 저장해도 장치 터널이 생기지 않습니다. 프로필은 그 머신의 모든 사용자가 쓸 수 있게 되지만 이는 저장 범위의 문제이며, 연결은 여전히 사용자 컨텍스트에서 이루어집니다.

진짜 장치 터널은 그렇게 구성됩니다. Microsoft가 이를 위해 문서화한 플랫폼, 프로토콜, 인증서 요구 사항을 갖추어야 합니다. 그 요구 사항에는 이를 지원하는 에디션, 도메인에 가입된 장치, IKEv2, 머신 인증서 인증이 포함됩니다. 사용자 터널에서 복사해 이름만 바꾼 device 프로필은 그중 어느 것도 충족하지 못합니다.

Microsoft의 장치 터널 설명서 가 프로필 형태의 기준이며, 동작하는 사용자 프로필을 재사용할 수 있다고 가정하기 전에 읽어 볼 가치가 있습니다.

경로는 좁게 유지한다

장치 터널은 머신이 로그인 전에 필요로 하는 것만 도달해야 합니다. 디렉터리, 인증 기관, 관리 엔드포인트, 그리고 이를 확인해 주는 DNS 레코드입니다. 그 경로와 방화벽 규칙은 전사 범위가 아니라 이 짧은 목록을 반영해야 합니다.

사용자 터널은 그 사람의 접근을 전달하며 배포 요구에 따라 그룹, 응용 프로그램 또는 대상별로 범위를 좁힐 수 있습니다. 두 범위를 섞으면 로그인 전 터널이 어떤 머신 계정도 가져서는 안 되는 파일 공유 접근 권한을 갖게 됩니다.

두 터널은 함께 배포할 수 있으며 대부분의 Always On 설계에서 그렇게 합니다. 장치 터널이 먼저 올라오고 좁게 유지됩니다. 사용자 터널은 로그인할 때 올라와 업무 트래픽을 전달합니다. 하나만 배포한다면 어떤 장애를 감수할지 결정해야 합니다. 네트워크가 없는 로그인 화면과 관리 트래픽을 전달하는 사용자 터널은 둘 다 나쁘지만, 보통 그 환경에서 허용되는 것은 둘 중 하나뿐입니다.

브라우저가 아니라 단계를 시험한다

로그인 후 브라우저 요청이 성공한다고 해서 증명되는 것은 사용자 터널뿐이며 장치 터널에 대해서는 아무 말도 해 주지 않습니다. 단계를 나누어 시험하십시오. 콜드 스타트에서 로그인 화면까지, 로그인 자체, 사용자 연결, 그리고 절전이나 네트워크 변경 이후의 복구입니다.

로그인 화면에서는 사용자가 아무도 로그인하지 않은 상태에서 머신이 관리 엔드포인트에 도달하는지를 확인합니다. 장치 터널이 단독으로 존재하는 유일한 순간이며, 재부팅이 필요해 많은 사람이 건너뛰는 단계입니다.

로그인 후에는 사용자 터널을 따로 확인하십시오. 장치 터널은 올라와 있지만 사용자 터널이 실패한 경우도 포함합니다. 상태가 둘인 터널이 둘이면 네 가지 조합이 나오고, 그중 하나만 정상으로 보입니다.

실패하면 먼저 터널을 특정한다

머신 인증서 갱신과 사용자 계정 복구는 담당자가 다른 별개의 작업입니다. 인증서 만료 후 실패한 장치 터널은 사용자 자격 증명을 초기화해도 고쳐지지 않고, 암호를 바꾼 뒤 실패한 사용자 터널은 머신 인증서를 다시 발급해도 고쳐지지 않습니다.

어느 터널이 활성이었는지, 어느 ID를 썼는지, 어느 단계가 실패했는지 기록하고, 사용 중인 에디션과 관리 환경에 대해 문서화된 요구 사항과 비교하십시오. 오래된 범용 VPN 마법사를 복사하는 것이 관리자에게만 동작하는 장치 터널로 배포가 끝나는 이유입니다.

작업 순서는 트래픽이 흘러야 하는 시점을 정하고, 그 시점에 존재하는 터널을 고르고, 그 경로를 좁히고, 수명 주기의 각 단계를 따로 시험하고, 두 ID의 복구 절차를 분리해 두는 것입니다.