Always On VPN — бул LANга кирүү эмес: ресурстарды текшерүү тизмеси

Always On — бул туташуунун жашоо цикли: профиль кирүү учурунда же андан мурун туташат жана колдонуучу эч нерсе баспай эле кайра туташат. Бул ар бир жеке максатка, протоколго жана колдонуучуга уруксат бар дегенди билдирбейт. Практикалык суроо — жайгаштырылган профиль чындыгында кайсы ресурстарды жеткирет, жана бул жооп Connected белгисине кароону эмес, ар бир ресурсту өзүнчө текшерүүнү талап кылат.

1-кадам: Текшерүүдөн мурун ресурсту жазып кой

Ар бир колдонмо үчүн кыска жазуудан башта, маанилер чыныгы чөйрөдөн алынсын: аты, максаттын префикси, кызмат жана порт, туннелдин ролу, инсандык топ жана чечүүчүнүн жолу.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Жазуу төрт өзүнчө суроону милдеттендирет. Маршрут дарек кайда бараарын чечет; DNS саясаты кардар даректи кантип билерин чечет; трафик чыпкасы бул трафик туташууну колдоно аларын чечет; максаттын файрволу жана колдонмонун уруксаттары сурам кабыл алынарын чечет. Бул төртөөнүн бири да туташкан туннелден келип чыклайт.

2-кадам: Аны кайсы туннел ташышы керек экенин аныкта

Windows Always On VPNде түзмөк туннели жана колдонуучу туннели бар, алар өзүнчө сертификаттар жана чөйрөлөр менен өзүнчө профиль катары жөндөлөт. Түзмөк туннели адатта кирүүгө чейин керектүү инфраструктураны гана ташыйт, мисалы башкаруу жана домен кызматтары; кызматкерлердин кеңири колдонмо жеткиликтүүлүгү колдонуучу туннелине тиешелүү.

Трафик чыпкалары түзмөк туннелинин өзгөчөлүгү, ошондуктан Microsoftтун мисалы аларды башкаруу трафиги үчүн колдонот. Ошол мисалды жалпы ресурс профилине көчүрүү туташкан, бирок туура эмес топтомду ташыган туннель берет. Get-VpnConnection менен активдүү туташууну ырастап, ошол туташуунун астында текшер.

3-кадам: Чыныгы дарек үчүн маршрутту текшер

Атты бир жолу чечип, анан маршрутту кара: Find-NetRoute -RemoteIPAddress 10.20.5.10 тандалган интерфейсти, кийинки секирүүнү жана булак дарегин көрсөтөт. Эгер интерфейс физикалык адаптер болсо, префикс туннелдин маршрут топтомунан жок же кардар аны бөлүнгөн туннел аркылуу чыгарып салган. Жергиликтүү маршрут кошуунун ордуна профиль аныктамасы менен салыштыр.

Жергиликтүү route add тестти өткөрүп, кийинки саясат жаңыртуусунда жоголушу мүмкүн, ошондуктан өзгөртүү башкарылуучу профилге тиешелүү. Префиксти колдонуучу жана түзмөк профилинде текшер, бөлүнгөн туннел жөндөөсүн да кара: толук туннелге ар бир префикс үчүн маршрут керек эмес, бөлүнгөн туннелге ташыган ар бир жеке префикс үчүн бирөө керек.

4-кадам: Жеке аттарды чечүүнү өзүнчө текшер

Жеке аттардын өз саясат жолу бар. Профиль NRPT эрежелерин жана DNS уландысын издөө тизмесин жеткире алат, алар туннел көтөрүлүп турганда жарактуу. Кардар чындыгында эмне алганын Get-DnsClientNrptPolicy аркылуу окуп, анан ошол эле сессияда атты жана даректи текшер. Даректер иштеп, аттар куласа — чечүүчү; экөө тең куласа — маршрут.

Ат туннелдин маршруттарынан тышкаркы дарекке да чечилиши мүмкүн, бул ийгилик менен убакыттын бүтүшүн аралаштырат. Кайтарылган даректи жазууңдагы префикс менен салыштыр; алар айырмаланса, жеке аймак коомдук же альтернативалык дарек менен жооп берип жатат жана дал келген маршрут долбоорлонгон маршрут эмес.

5-кадам: Чыпкаларды, инсандыкты жана колдонмонун өз дарбазасын текшер

Трафик чыпкалары кайсы протоколдор жана порттор түзмөк туннелин колдоно аларын чектейт, ал эми тар топтом маршрут ташыган ресурсту тосуп калышы мүмкүн. Профиль туташууну топко дайындайт, бирок ресурстун өз укугу бар: туташа алган колдонуучу файл сервери тарабынан автоматтык түрдө кабыл алынбайт.

Башкарылуучу профилди анын ээси аркылуу өзгөрт, Intune болобу, ProfileXML жайгаштыруу же операциялык скрипт болобу, анан кадимки кайра туташуудан жана кайра жүктөөдөн кийин кайра текшер: кадимки бузулуу — эскирген жергиликтүү маршрут же бир жолу гана колдонулган профиль. Профилдин версиясын тест жыйынтыгынын жанында карма.