Тунел на уред или тунел на корисник во Windows Always On VPN?

Преносен сметач што треба да стигне до сервер за управување од екранот за најавување и преносен сметач што треба да стигне до споделени папки откако корисникот ќе се автентицира се два различни проблема. Windows ги решава со два различни тунели, а разликата не е кој од нив се појавува во списокот на профили. Тунелот на уред работи како машината, пред некој да се најави. Тунелот на корисник работи како лицето, откако платформата ќе има идентитет со кој може да работи. Изборот меѓу нив започнува од моментот кога сообраќајот мора да тече, а не од ресурсите до кои треба да стигне.

Два идентитета, два момента

Тунелот на уред се воспоставува во контекст на машината, затоа може да го носи сообраќајот потребен за автентикација на корисник или за агентите за управување да се пријават пред најавувањето. Тунелот на корисник се воспоставува во контекст на корисникот, по најавувањето, со акредитивите на корисникот и политиката што се применува на таа сметка.

Таа временска разлика е целиот дизајн. Сето друго произлегува од неа, вклучително кои методи за автентикација се достапни и кои ресурси имаат смисла.

Ако барањето е деловна апликација што ја користи најавено лице, тунелот на корисник одговара на тоа. Ако барањето е контролер на домен, сертификациско тело или служба за управување достапна од екранот за најавување, доволно рано е само тунелот на уред.

Телефонскиот именик не е разликата

Зачувувањето на матичен профил во телефонскиот именик на сите корисници не создава тунел на уред. Профилот станува достапен за секој корисник на машината, што е прашање на обем на складирање, и тој сè уште се поврзува во контекст на корисник.

Вистински тунел на уред се конфигурира како таков, со барањата за платформа, протокол и сертификат што Microsoft ги документира за него. Тие барања вклучуваат издание што го поддржува, уред придружен на домен, IKEv2 и автентикација со сертификат на машината. Профил со име device, копиран од тунел на корисник и преименуван, не исполнува ништо од тоа.

Документацијата на Microsoft за тунелот на уред е референца за формата на профилот, и вреди да се прочита пред да се претпостави дека работен кориснички профил може повторно да се употреби.

Држете ја секоја патека тесна

Тунелот на уред треба да стигне само до она што на машината ѝ треба пред најавување: директориумот, сертификациското тело, крајната точка за управување и DNS записите што ги разрешуваат. Неговите рути и правила за огнен ѕид треба да го одразуваат тој краток список, а не целиот корпоративен опсег.

Тунелот на корисник го носи пристапот на лицето и може да се ограничи по група, апликација или одредиште како што бара распоредувањето. Мешањето на двата опсега е начинот на кој тунелот пред најавување добива пристап до споделени папки што ниту една сметка на машина не треба да го има.

Двата тунели можат да се распоредат заедно, и во повеќето Always On дизајни тоа се прави. Тунелот на уред се подига прв и останува тесен. Тунелот на корисник се подига при најавување и го носи работниот сообраќај. Ако распоредите само еден, одлучете со кој дефект можете да живеете. Екранот за најавување без мрежа и тунелот на корисник што носи сообраќај за управување се и двете лоши, но обично само едниот од нив е прифатлив во вашата околина.

Тестирајте ја фазата, не прелистувачот

Успешно барање од прелистувач по најавувањето го докажува тунелот на корисник и не кажува ништо за тунелот на уред. Тестирајте ги фазите одделно: студено стартување до екранот за најавување, самата најава, поврзувањето на корисникот и закрепнувањето по спиење или промена на мрежата.

На екранот за најавување, проверката е дали машината може да стигне до крајната точка за управување без најавен корисник. Тоа е единствениот момент кога тунелот на уред постои сам, и тоа е фазата што луѓето ја прескокнуваат зашто за нејзино тестирање е потребно рестартирање.

По најавувањето, проверете го тунелот на корисник одделно, вклучително случајот кога тунелот на уред е активен, но тунелот на корисник не успеал. Два тунели со две состојби даваат четири комбинации, и само една од нив изгледа здрава.

Кога ќе не успее, прво именувајте го тунелот

Обновувањето на сертификатот на машината и закрепнувањето на корисничката сметка се различни задачи со различни сопственици. Тунел на уред што не успева по истекот на сертификат нема да се поправи со ресетирање на акредитивите на корисникот, а тунел на корисник што не успева по промена на лозинка нема да се поправи со повторно издавање на сертификатот на машината.

Забележете кој тунел бил активен, кој идентитет го користел и која фаза не успеала, потоа споредете го тоа со документираните барања за изданието и околината за управување што се користат. Копирањето стар општ VPN волшебник е начинот на кој распоредувањата завршуваат со тунел на уред што работи само за администратори.

Редослед на работа: именувајте го моментот кога сообраќајот мора да тече, изберете го тунелот што постои во тој момент, стеснете ги неговите рути, тестирајте ја секоја фаза од животниот циклус одделно и држете ги постапките за закрепнување на двата идентитета одвоени.