Įrenginio tunelis ar naudotojo tunelis „Windows Always On VPN“?

Nešiojamasis kompiuteris, kuriam reikia pasiekti valdymo serverį iš prisijungimo ekrano, ir nešiojamasis kompiuteris, kuriam reikia pasiekti failų bendrinius išteklius po naudotojo autentifikavimo, yra dvi skirtingos problemos. „Windows“ jas sprendžia dviem skirtingais tuneliais, o skirtumas ne tas, kuris iš jų rodomas profilių sąraše. Įrenginio tunelis veikia kaip mašina, dar niekam neprisijungus. Naudotojo tunelis veikia kaip asmuo, kai platforma turi tapatybę, su kuria gali dirbti. Pasirinkimas tarp jų prasideda nuo momento, kada srautas turi tekėti, o ne nuo išteklių, kuriuos reikia pasiekti.

Dvi tapatybės, du momentai

Įrenginio tunelis nustatomas mašinos kontekste, todėl gali perduoti srautą, reikalingą naudotojui autentifikuoti, arba leisti valdymo agentams prisistatyti prieš prisijungimą. Naudotojo tunelis nustatomas naudotojo kontekste, po prisijungimo, su naudotojo kredencialais ir politika, taikoma tai paskyrai.

Šis laiko skirtumas yra visas dizainas. Visa kita iš to išplaukia, įskaitant tai, kokie autentifikavimo metodai prieinami ir kokie ištekliai turi prasmę.

Jei reikalavimas yra verslo programa, kurią naudoja prisijungęs asmuo, atsako naudotojo tunelis. Jei reikalavimas yra domeno valdiklis, sertifikavimo institucija ar valdymo paslauga, pasiekiama iš prisijungimo ekrano, pakankamai ankstyvas yra tik įrenginio tunelis.

Telefonų knyga nėra skirtumas

Vietinio profilio išsaugojimas visų naudotojų telefonų knygoje nesukuria įrenginio tunelio. Profilis tampa prieinamas kiekvienam mašinos naudotojui, o tai saugyklos apimties klausimas, ir jis vis tiek jungiasi naudotojo kontekste.

Tikras įrenginio tunelis konfigūruojamas būtent taip, su platformos, protokolo ir sertifikato reikalavimais, kuriuos „Microsoft“ jam dokumentuoja. Šie reikalavimai apima leidimą, kuris jį palaiko, prie domeno prijungtą įrenginį, IKEv2 ir autentifikavimą mašinos sertifikatu. Profilis pavadinimu device, nukopijuotas iš naudotojo tunelio ir pervadintas, neatitinka nieko iš to.

„Microsoft“ įrenginio tunelio dokumentacija yra profilio formos nuoroda, ir verta ją perskaityti prieš darant prielaidą, kad veikiantį naudotojo profilį galima naudoti pakartotinai.

Laikykite kiekvieną kelią siaurą

Įrenginio tunelis turėtų pasiekti tik tai, ko mašinai reikia prieš prisijungimą: katalogą, sertifikavimo instituciją, valdymo galinį tašką ir DNS įrašus, kurie juos išsprendžia. Jo maršrutai ir užkardos taisyklės turėtų atspindėti šį trumpą sąrašą, o ne visą įmonės diapazoną.

Naudotojo tunelis perduoda asmens prieigą ir gali būti apribotas pagal grupę, programą ar paskirties vietą, kaip reikalauja diegimas. Abiejų apimčių maišymas yra būdas, kuriuo prieš prisijungimą veikiantis tunelis gauna prieigą prie failų bendrinimų, kurios neturėtų turėti jokia mašinos paskyra.

Abu tuneliai gali būti diegiami kartu, ir daugumoje „Always On“ dizainų taip ir daroma. Įrenginio tunelis pakyla pirmas ir išlieka siauras. Naudotojo tunelis pakyla prisijungiant ir perduoda darbo srautą. Jei diegiate tik vieną, nuspręskite, su kokiu gedimu galite gyventi. Prisijungimo ekranas be tinklo ir naudotojo tunelis, perduodantis valdymo srautą, abu yra blogi, bet paprastai tik vienas iš jų yra priimtinas jūsų aplinkoje.

Tikrinkite etapą, o ne naršyklę

Sėkminga naršyklės užklausa po prisijungimo įrodo naudotojo tunelį ir nieko nesako apie įrenginio tunelį. Tikrinkite etapus atskirai: šaltas paleidimas iki prisijungimo ekrano, pats prisijungimas, naudotojo ryšys ir atkūrimas po miego ar tinklo pasikeitimo.

Prisijungimo ekrane tikrinama, ar mašina gali pasiekti valdymo galinį tašką be prisijungusio naudotojo. Tai vienintelis momentas, kai įrenginio tunelis egzistuoja vienas, ir tai etapas, kurį žmonės praleidžia, nes jam patikrinti reikia paleisti iš naujo.

Po prisijungimo atskirai patikrinkite naudotojo tunelį, įskaitant atvejį, kai įrenginio tunelis veikia, bet naudotojo tunelis nepavyko. Du tuneliai su dviem būsenomis duoda keturis derinius, ir tik vienas jų atrodo sveikas.

Kai nepavyksta, pirmiausia įvardykite tunelį

Mašinos sertifikato atnaujinimas ir naudotojo paskyros atkūrimas yra skirtingos užduotys su skirtingais savininkais. Įrenginio tunelis, kuris nepavyksta pasibaigus sertifikato galiojimui, nebus sutvarkytas atstačius naudotojo kredencialus, o naudotojo tunelis, kuris nepavyksta pakeitus slaptažodį, nebus sutvarkytas iš naujo išdavus mašinos sertifikatą.

Užrašykite, kuris tunelis buvo aktyvus, kokią tapatybę naudojo ir kuris etapas nepavyko, tada palyginkite tai su dokumentuotais reikalavimais naudojamam leidimui ir valdymo aplinkai. Seno bendro VPN vedlio kopijavimas yra būdas, kuriuo diegimai baigiasi įrenginio tuneliu, veikiančiu tik administratoriams.

Darbo tvarka: įvardykite momentą, kada srautas turi tekėti, pasirinkite tunelį, kuris tuo momentu egzistuoja, susiaurinkite jo maršrutus, atskirai patikrinkite kiekvieną gyvavimo ciklo etapą ir laikykite dviejų tapatybių atkūrimo procedūras atskirai.