Windows Always On VPN ичинде түзмөк туннелиби же колдонуучу туннелиби?

Кирүү экранынан башкаруу серверине жетүүсү керек ноутбук менен колдонуучу аутентификациялангандан кийин файлдык бөлүшүүлөргө жетүүсү керек ноутбук эки башка маселе. Windows аларды эки башка туннель менен чечет, ал эми айырмачылык профилдер тизмесинде кайсы көрүнөрүндө эмес. Түзмөк туннели машина катары иштейт, кимдир бирөө кирээринен мурун. Колдонуучу туннели адам катары иштейт, платформанын иштее үчүн идентификациясы болгондон кийин. Экөөнүн ортосунда тандоо трафик агууга тийиш болгон учурдан башталат, жетүүгө тийиш ресурстардан эмес.

Эки идентификация, эки учур

Түзмөк туннели машина контекстинде орнотулат, ошондуктан ал колдонуучуну аутентификациялоо үчүн керек трафикти же башкаруу агенттеринин кирүүгө чейин билдирүүсүн ташып бере алат. Колдонуучу туннели колдонуучу контекстинде, киргенден кийин, колдонуучунун креденциалдары жана ошол эсепке колдонулуучу саясат менен орнотулат.

Убакыттын ошол айырмасы — бүткүл дизайн. Калганынын баары ошондон келип чыгат, анын ичинде кайсы аутентификация ыкмалары жеткиликтүү жана кайсы ресурстардын мааниси бар экени.

Эгер талап кирген адам колдонгон бизнес тиркеме болсо, колдонуучу туннели ошого жооп берет. Эгер талап кирүү экранынан жеткиликтүү домен контроллери, сертификат органы же башкаруу кызматы болсо, тек түзмөк туннели гана жетиштүү эрте.

Телефон китеби айырмачылык эмес

Бардык колдонуучулардын телефон китебине жергиликтүү профилди сактоо түзмөк туннелин жаратпайт. Профиль машинадагы ар бир колдонуучуга жеткиликтүү болот, бул сактоо көлөмүнүн маселеси, жана ал дагы эле колдонуучу контекстинде туташат.

Чыныгы түзмөк туннели ушундай конфигурацияланат, Microsoft ага документтеген платформа, протокол жана сертификат талаптары менен. Ал талаптарга кирет аны колдогон чыгарылыш, доменге кошулган түзмөк, IKEv2 жана машина сертификаты менен аутентификациялоо. Колдонуучу туннелинен көчүрүлүп, аты өзгөртүлгөн device аттуу профиль булардын бирин да аткарбайт.

Microsoftтун түзмөк туннели боюнча документтери профилдин формасы үчүн шилтеме болуп саналат жана иштеп жаткан колдонуучу профилин кайра колдонсо болот деп ойлоодон мурун аны окууга татыктуу.

Ар бир жолду кууш кармаңыз

Түзмөк туннели машинага кирүүгө чейин керектүү нерселерге гана жетүүсү керек: каталог, сертификат органы, башкаруу акыркы чекити жана аларды чечкен DNS жазуулары. Анын маршруттары жана брандмауэр эрежелери толук корпоративдик диапазонду эмес, ошол кыска тизмени чагылдырышы керек.

Колдонуучу туннели адамдын жетүү мүмкүнчүлүгүн ташыйт жана жайылтуу талап кылгандай топ, тиркеме же багыт боюнча чектелиши мүмкүн. Эки диапазонду аралаштыруу — кирүүгө чейинки туннелдин эч бир машина эсебинде болбошу керек болгон файлдык бөлүшүүгө жетүүсүнүн жолу.

Эки туннелди чогуу жайылтса болот жана көпчүлүк Always On дизайндарында ошондой болот. Түзмөк туннели биринчи көтөрүлүп, кууш бойдон калат. Колдонуучу туннели кирүү учурунда көтөрүлүп, жумуш трафигин ташыйт. Эгер бирөөнү гана жайылтсаңыз, кайсы бузулуу менен жашай аларыңызды чечиңиз. Тармаксыз кирүү экраны да, башкаруу трафигин ташыган колдонуучу туннели да жаман, бирок адатта сиздин чөйрөдө алардын бири гана кабыл алынат.

Баскычты текшериңиз, браузерди эмес

Киргенден кийинки ийгиликтүү браузер суранычы колдонуучу туннелин далилдейт жана түзмөк туннели жөнүндө эч нерсе айтпайт. Баскычтарды өзүнчө текшериңиз: муздак баштоодон кирүү экранына чейин, кирүүнүн өзү, колдонуучунун туташуусу жана уйкудан же тармак өзгөрүүсүнөн кийинки калыбына келүү.

Кирүү экранында текшерүү — машина эч бир колдонуучу кирбей туруп башкаруу акыркы чекитине жете алабы. Бул түзмөк туннели жалгыз өзү болгон жалгыз учур, жана адамдар аны кайра жүктөө талап кылгандыктан өткөрүп жибере турган баскыч.

Киргенден кийин колдонуучу туннелин өзүнчө текшериңиз, анын ичинде түзмөк туннели иштеп, бирок колдонуучу туннели иштебей калган учурду. Эки абалдуу эки туннель төрт комбинация берет жана алардын бири гана соо көрүнөт.

Иштебей калганда, адегенде туннелди атаңыз

Машина сертификатын жаңыртуу жана колдонуучу эсебин калыбына келтирүү — ээлери башка, ар башка милдеттер. Сертификаттын мөөнөтү бүткөндөн кийин иштебей калган түзмөк туннели колдонуучунун креденциалдарын баштапкы абалга келтирүү менен оңдолбойт, ал эми сырсөз өзгөргөндөн кийин иштебей калган колдонуучу туннели машина сертификатын кайра берүү менен оңдолбойт.

Кайсы туннель активдүү болгонун, кайсы идентификацияны колдонгонун жана кайсы баскыч иштебей калганын жазып алыңыз, андан соң аны колдонулуп жаткан чыгарылыш менен башкаруу чөйрөсүнүн документтелген талаптары менен салыштырыңыз. Эски жалпы VPN устасын көчүрүү — жайылтуулардын администраторлорго гана иштеген түзмөк туннели менен аякташынын жолу.

Иш тартиби: трафик агууга тийиш болгон учурду атаңыз, ошол учурда бар туннелди тандаңыз, анын маршруттарын куушкартыңыз, жашоо циклинин ар бир баскычын өзүнчө текшериңиз жана эки идентификациянын калыбына келтирүү процедураларын өзүнчө кармаңыз.