Always On VPN ass keen LAN-Zougang: eng Checkliste fir Ressourcen

Always On beschreift de Liewenszyklus vun enger Verbindung, net eng Ressourcenzouuerdnung. Iwwerpréift d’Tunnelroll, d’Routen, privat DNS an d’Verkehrsfilter par rapport zu der Applikatioun, déi Dir braucht.

Always On ass de Liewenszyklus vun enger Verbindung: d’Profil verbënnt sech beim oder virum Umellen a verbënnt sech erëm, ouni dass de Benotzer eppes dréckt. Dat heescht awer net, dass all privat Destinatioun, Protokoll a Benotzer erlaabt ass. Déi praktesch Fro ass, wéi eng Ressourcen dat agesat Profil wierklech liwwert, an déi Äntwert verlaangt eng Kontroll pro Ressource, net e Bléck op de Connected-Badge.

Schrëtt 1: Schreift d’Ressource op, ier Dir se testt

Fänkt mat engem kuerzen Notitz pro Applikatioun un, aus der richteger Ëmgéigend geholl: Numm, Destinatiounspräfix, Service a Port, Tunnelroll, Identitéitsgrupp a Resolverwee.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

D’Notitz forcéiert véier getrennte Froe. Eng Route entscheet, wou d’Adress hikënnt; eng DNS-Politik entscheet, wéi de Client d’Adress léiert; e Verkéiersfilter entscheet, ob dee Verkéier d’Verbindung benotze kann; d’Firewall an d’App-Rechter vum Zil entscheeden, ob d’Ufro ugeholl gëtt. Keent vun de véier kënnt aus engem verbonnene Tunnel.

Schrëtt 2: Bestëmmt, wéi en Tunnel et soll droen

Windows Always On VPN huet en Apparat-Tunnel an en Benotzer-Tunnel, als getrennt Profiler mat getrennte Zertifikater a Beräicher konfiguréiert. Den Apparat-Tunnel dréit meeschtens nëmmen d’Infrastruktur, déi virum Umelle gebraucht gëtt, wéi Verwaltung an Domain-Servicer; de breede fräie Zougang vun de Mataarbechter zu den Appen gehéiert zum Benotzer-Tunnel.

Verkéiersfiltere sinn eng Funktioun vum Apparat-Tunnel, dofir benotzt d’Microsoft-Beispill se fir de Verwaltungsverkéier. Wa mer d’Beispill an e allgemengt Ressourceprofil kopéieren, kréie mer en Tunnel, dee sech verbënnt awer de falsche Set dréit. Bestätegt déi aktiv Verbindung mat Get-VpnConnection a testt ënner där Verbindung.

Schrëtt 3: Iwwerpréift d’Route fir déi richteg Adress

Léist den Numm eemol op a kontrolléiert dann d’Route: Find-NetRoute -RemoteIPAddress 10.20.5.10 weist de gewielten Interface, den nächsten Hop an d’Quelladress. Wann den Interface den kierperlechen Adapter ass, feelt de Präfix am Routenset vum Tunnel oder de Client huet en duerch Split-Tunneling ausgeschloss. Vergläicht mat der Profildefinitioun, amplaz eng lokal Route derbäizesetzen.

Eng lokal route add kann den Test duerchgoe loossen an beim nächsten Politik-Refresh verschwannen, dofir gehéiert d’Ännerung an d’verwalt Profil. Kontrolléiert de Präfix am Benotzer- an am Apparatprofil, an d’Astellunge vum Split-Tunneling: en Deel-Tunnel brauch keng Route pro Präfix, e Split-Tunnel eng fir all privat Präfix, deen en dréit.

Schrëtt 4: Testt d’Opléise vun private Nimm getrennt

Privat Nimm hunn hire eigenen Trëppelwee. D’Profil kann NRPT-Reegelen an eng DNS-Suffix-Sichlëscht liwweren, déi gülteg sinn, soulaang den Tunnel steet. Liest mat Get-DnsClientNrptPolicy, wat de Client wierklech kritt huet, a testt dann en Numm an eng Adress an der selweschter Sëtzung. Nimm, déi feelen, iwwerdeems Adressen funktionéieren, weisen op den Resolver; béid, déi feelen, op d’Route.

En Numm kann sech och op eng Adress baussent de Routen vum Tunnel opléisen, wat Erfolleg a Zäitiwwerschreidung mengt. Vergläicht déi zréckkënnt Adress mat dem Präfix an Ärer Notitz; wa se verschidde sinn, äntwert d’privat Zone mat enger ëffentlecher oder alternativer Adress an d’Route, déi gepasst huet, ass net déi ausgeduecht.

Schrëtt 5: Kontrolléiert Filteren, Identitéit an d’eegen Paart vun der App

Verkéiersfiltere limitéieren, wéi eng Protokoller a Porte den Apparat-Tunnel benotze kënnen, an e schmuele Set kann eng Ressource blockéieren, déi d’Route géif droen. D’Profil deelt d’Verbindung enger Grupp zou, awer d’Ressource huet hir eege Berichtegung: e Benotzer, dee sech ka verbënnen, gëtt net automatesch vum Fichierserver ugeholl.

Ännert d’verwalt Profil iwwer säin Eegentemer, sief et Intune, eng ProfileXML-Ausrollung oder en Operatiounsskript, a testt duerno erëm no enger normaler Ëmverbindung an no engem Neistart: de gewéinleche Fehler ass eng al lokal Route oder e Profil, dee just eng Kéier ugewannt gouf. Halt d’Profilversioun niewent dem Testresultat.

Ähnlech Artikelen