Apparatunnel oder Benutzertunnel an Windows Always On VPN?

E Laptop, dee vum Umellbildschierm aus en Administratiounsserver ereiche muss, an e Laptop, dee no der Authentifikatioun vum Benotzer Dateifrëmmt musse muss, sinn zwee verschidde Problemer. Windows léist se mat zwee verschiddenen Tunnellen, an den Ënnerscheed ass net, wéien an der Profillëscht erschéngt. Den Apparatunnel leeft als Maschinn, ier iergendeen sech umellt. Den Benutzertunnel leeft als Persoun, nodeem d’Plattform eng Identitéit huet, mat där se schaffe kann. D’Auswiel tëschent deenen zwee fänkt mam Moment un, wou den Trafic fléisse muss, net mat de Ressourcen, déi en ereiche muss.

Zwou Identitéiten, zwee Momenter

Den Apparatunnel gëtt am Maschinnekader opgebaut, dofir kann en den Trafic droen, dee fir d’Authentifikatioun vun engem Benotzer néideg ass, oder dat et Administratiounsagenten erlaabt, sech virum Umellen ze mellen. Den Benutzertunnel gëtt am Benotzerkader opgebaut, no dem Umellen, mat den Umellinformatioune vum Benotzer an der Richtlinn, déi fir dee Kont gëllt.

Dee Zäitënnerscheed ass de ganzen Design. Alles anescht folgt doraus, och wéi eng Authentifikatiounsmethoden verfügbar sinn a wéi eng Ressourcen Sënn maachen.

Wann d’Fuerderung eng Geschäftsapplikatioun ass, déi eng ugemellte Persoun benotzt, äntwert den Benutzertunnel drop. Wann d’Fuerderung en Domäncontroller, eng Zertifizéierungsautoritéit oder en Administratiounsservice ass, deen um Umellbildschierm erreechbar ass, ass nëmmen den Apparatunnel fréi genuch.

Den Telefonsbuch ass den Ënnerscheed net

En natives Profil an den Telefonsbuch vun alle Benotzer ze späicheren, mécht keen Apparatunnel. D’Profil gëtt fir all Benotzer op der Maschinn verfügbar, wat eng Fro vum Späicherëmfang ass, an et verbënnt sech nach ëmmer am Benotzerkader.

En echte Apparatunnel gëtt esou konfiguréiert, mat de Plattform-, Protokoll- an Zertifikatsfuerderungen, déi Microsoft dofir dokumentéiert. Zu dëse Fuerderunge gehéieren eng Editioun, déi en ënnerstëtzt, en Apparat, deen un d’Domän ugeschloss ass, IKEv2 an d’Authentifikatioun mam Maschinnzertifikat. Eng Profil mam Numm device, déi vun engem Benutzertunnel kopéiert an ëmbenannt gouf, erfëllt näischt dovun.

D’Microsoft-Dokumentatioun zum Apparatunnel ass d’Referenz fir d’Form vun der Profil, an et lount sech, se ze liesen, ier een unhëlt, eng funktionéierend Benotzerprofil kéint erëmbenotzt ginn.

Halt all Wee schmuel

Den Apparatunnel sollt nëmmen dat ereichen, wat d’Maschinn virum Umelle brauch: den Verzeechnis, d’Zertifizéierungsautoritéit, den Administratiounsendpunkt an d’DNS-Andräg, déi se opléisen. Seng Routen a Firewallregelen sollte grad déi kuerz Lëscht spigelen an net de ganzen Entrepriseberäich.

Den Benutzertunnel dréit den Zougang vun der Persoun a kann no Grupp, Applikatioun oder Destinatioun ageschränkt ginn, wéi et d’Ausrollung verlaangt. Déi zwee Beräicher ze mëschen ass de Wee, op deem en Tunnel virum Umelle Zougang zu Dateifrëmmt kritt, deen kee Maschinnkont iergendwann dierft hunn.

Béid Tunnelle kënnen zesummen ausgerullt ginn, an a meeschten Always On-Designen ass dat de Fall. Den Apparatunnel kënnt als éischten erop a bleift schmuel. Den Benutzertunnel kënnt beim Umellen erop an dréit den Aarbechtstrafic. Wann Dir nëmmen een ausrollt, entscheet, mat wéi engem Feeler Dir kënnt liewen. En Umellbildschierm ouni Netz an en Benutzertunnel, deen Administratiounstrafic dréit, si béid schlecht, awer meeschtens ass just ee vun deenen zwee an Ärer Ëmgéigend akzeptabel.

Test d’Etapp, net de Browser

Eng funktionéierend Browserufro no dem Umellen beweist den Benutzertunnel a seet näischt iwwer den Apparatunnel. Test d’Etappen eenzel: kale Start bis zum Umellbildschierm, d’Umelle selwer, d’Verbindung vum Benotzer an d’Erhuelung no Schlof oder engem Netzwechsel.

Um Umellbildschierm ass d’Prüfung, ob d’Maschinn den Administratiounsendpunkt ereiche kann ouni en ugemellte Benotzer. Dat ass deen eenzege Moment, wou den Apparatunnel eleng existéiert, an et ass déi Etapp, déi d’Leit iwwersprangen, well hir Prüfung en Neistart verlaangt.

No dem Umellen, prüft den Benutzertunnel eenzel, och de Fall, wou den Apparatunnel erop ass, awer den Benutzertunnel versot huet. Zwee Tunnelle mat zwou Zoustänn ginn véier Kombinatiounen, an nëmmen eng dovun ausgesäit gesond.

Wann et versot, nennt d’éischt den Tunnel

D’Erneierung vum Maschinnzertifikat an d’Erhuelung vum Benotzerkont si verschidde Aufgaben mat verschiddenen Eegentümer. En Apparatunnel, deen nom Oflaf vun engem Zertifikat versot, gëtt net duerch d’Zerécksetze vun den Umellinformatioune vum Benotzer reparéiert, an en Benutzertunnel, deen no enger Passwuertännerung versot, gëtt net duerch d’Neiausstellung vum Maschinnzertifikat reparéiert.

Notéiert, wéien Tunnel aktiv war, wéi eng Identitéit en benotzt huet a wéi eng Etapp versot huet, a vergläicht dat mat den dokumentéierte Fuerderungen fir déi benotzt Editioun an Administratiounssëmgéigend. Eng al allgemeng VPN-Assistent ze kopéieren ass de Wee, op deem Ausrollungen mat engem Apparatunnel ophalen, deen nëmme fir Administratoren fonctionéiert.

Aarbechtsuerdnung: nennt de Moment, wou den Trafic fléisse muss, wielt den Tunnel, deen an deem Moment existéiert, enkert seng Routen an, test all Etapp vum Liewenszyklus eenzel, a haalt d’Erhuelungsprozedure vun den zwou Identitéiten getrennt.