Ierīces tunelis vai lietotāja tunelis sistēmā Windows Always On VPN?

Klēpjdators, kuram no pieteikšanās ekrāna jāsasniedz pārvaldības serveris, un klēpjdators, kuram pēc lietotāja autentifikācijas jāsasniedz failu koplietojumi, ir divas atšķirīgas problēmas. Windows tās risina ar diviem dažādiem tuneļiem, un atšķirība nav tajā, kurš parādās profilu sarakstā. Ierīces tunelis darbojas kā mašīna, pirms kāds piesakās. Lietotāja tunelis darbojas kā persona, pēc tam, kad platformai ir identitāte, ar ko strādāt. Izvēle starp tiem sākas ar brīdi, kad datu plūsmai jāplūst, nevis ar resursiem, kas jāsasniedz.

Divas identitātes, divi brīži

Ierīces tunelis tiek izveidots mašīnas kontekstā, tāpēc tas var pārvadīt datu plūsmu, kas nepieciešama lietotāja autentifikācijai, vai ļaut pārvaldības aģentiem pieteikties pirms pieteikšanās. Lietotāja tunelis tiek izveidots lietotāja kontekstā, pēc pieteikšanās, ar lietotāja akreditācijas datiem un politiku, kas attiecas uz šo kontu.

Šī laika atšķirība ir viss dizains. Viss pārējais no tā izriet, tostarp tas, kuras autentifikācijas metodes ir pieejamas un kuriem resursiem ir jēga.

Ja prasība ir biznesa lietojumprogramma, ko izmanto pieteicies cilvēks, uz to atbild lietotāja tunelis. Ja prasība ir domēna kontrolieris, sertifikācijas iestāde vai pārvaldības pakalpojums, kas pieejams no pieteikšanās ekrāna, pietiekami agri ir tikai ierīces tunelis.

Tālruņu grāmata nav tā atšķirība

Vietējā profila saglabāšana visu lietotāju tālruņu grāmatā neizveido ierīces tuneli. Profils kļūst pieejams katram mašīnas lietotājam, kas ir krātuves apjoma jautājums, un tas joprojām savienojas lietotāja kontekstā.

Īsts ierīces tunelis tiek konfigurēts tieši tā, ar platformas, protokola un sertifikāta prasībām, ko Microsoft tam dokumentē. Šīs prasības ietver izdevumu, kas to atbalsta, domēnam pievienotu ierīci, IKEv2 un autentifikāciju ar mašīnas sertifikātu. Profils ar nosaukumu device, kas kopēts no lietotāja tuneļa un pārdēvēts, neatbilst nevienai no tām.

Microsoft ierīces tuneļa dokumentācija ir profila formas atsauce, un to ir vērts izlasīt, pirms pieņemt, ka strādājošu lietotāja profilu var izmantot atkārtoti.

Turiet katru ceļu šauru

Ierīces tunelim jāsasniedz tikai tas, kas mašīnai nepieciešams pirms pieteikšanās: katalogs, sertifikācijas iestāde, pārvaldības galapunkts un DNS ieraksti, kas tos atrisina. Tā maršrutiem un ugunsmūra noteikumiem jāatspoguļo šis īsais saraksts, nevis viss uzņēmuma diapazons.

Lietotāja tunelis pārvada personas piekļuvi, un to var ierobežot pēc grupas, lietojumprogrammas vai galamērķa, kā to prasa ieviešana. Abu apjomu sajaukšana ir veids, kā pirms pieteikšanās darbojošais tunelis iegūst piekļuvi failu koplietojumiem, kāda nevienam mašīnas kontam nevajadzētu būt.

Abus tuneļus var ieviest kopā, un vairumā Always On dizainu tā arī tiek darīts. Ierīces tunelis paceļas pirmais un paliek šaurs. Lietotāja tunelis paceļas pieteikšanās laikā un pārvada darba datu plūsmu. Ja ieviešat tikai vienu, izlemiet, ar kuru kļūdu varat sadzīvot. Pieteikšanās ekrāns bez tīkla un lietotāja tunelis, kas pārvada pārvaldības datu plūsmu, abi ir slikti, bet parasti tikai viens no tiem ir pieņemams jūsu vidē.

Pārbaudiet posmu, nevis pārlūku

Veiksmīgs pārlūka pieprasījums pēc pieteikšanās pierāda lietotāja tuneli un neko nepasaka par ierīces tuneli. Pārbaudiet posmus atsevišķi: auksta starta līdz pieteikšanās ekrānam, pati pieteikšanās, lietotāja savienojums un atjaunošanās pēc miega vai tīkla maiņas.

Pieteikšanās ekrānā pārbaude ir, vai mašīna var sasniegt pārvaldības galapunktu bez pieteikušos lietotāju. Tas ir vienīgais brīdis, kad ierīces tunelis pastāv viens pats, un tas ir posms, ko cilvēki izlaiž, jo tā pārbaudei nepieciešama restartēšana.

Pēc pieteikšanās atsevišķi pārbaudiet lietotāja tuneli, tostarp gadījumu, kad ierīces tunelis ir aktīvs, bet lietotāja tunelis neizdevās. Divi tuneļi ar diviem stāvokļiem dod četras kombinācijas, un tikai viena no tām izskatās vesela.

Kad tas neizdodas, vispirms nosauciet tuneli

Mašīnas sertifikāta atjaunošana un lietotāja konta atjaunošana ir dažādi uzdevumi ar dažādiem īpašniekiem. Ierīces tunelis, kas neizdodas pēc sertifikāta termiņa beigām, netiks salabots, atiestatot lietotāja akreditācijas datus, un lietotāja tunelis, kas neizdodas pēc paroles maiņas, netiks salabots, atkārtoti izsniedzot mašīnas sertifikātu.

Pierakstiet, kurš tunelis bija aktīvs, kādu identitāti tas izmantoja un kurš posms neizdevās, pēc tam salīdziniet to ar dokumentētajām prasībām izmantotajam izdevumam un pārvaldības videi. Vecas vispārīgas VPN vedņa kopēšana ir veids, kā ieviešanas beidzas ar ierīces tuneli, kas darbojas tikai administratoriem.

Darbu secība: nosauciet brīdi, kad datu plūsmai jāplūst, izvēlieties tuneli, kas tajā brīdī pastāv, sašauriniet tā maršrutus, atsevišķi pārbaudiet katru dzīves cikla posmu un turiet divu identitāšu atjaunošanas procedūras atsevišķi.