Always On VPN нь LAN хандалт биш: нөөцийн шалгах хуудас

Always On бол холболтын амьдралын мөчлөг: профайл нэвтрэх үед эсвэл түүнээс өмнө холбогдож, хэрэглэгч юу ч дарахгүйгээр дахин холбогддог. Энэ нь хувийн зорилго, протокол, хэрэглэгч бүр зөвшөөрөгдсөн гэсэн үг биш. Бодит асуулт нь байршуулсан профайл ямар нөөцийг үнэхээр хүргэж байгаа бэ, хариулт нь Connected тэмдгийг харах бус нөөц бүрээр шалгахыг шаарддаг.

1-р алхам: Шалгахаас өмнө нөөцөө бичиж аваарай

Апп бүрт нэг богино бүртгэл эхлүүлж, утгуудыг бодит орчноос авна: нэр, зорьсон префикс, үйлчилгээ ба порт, туннелийн үүрэг, таних тэмдгийн бүлэг, шийдэгчийн зам.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Бүртгэл дөрвөн тусдаа асуултыг албаддаг. Маршрут хаяг хааша явахыг шийднэ; DNS бодлого клиент хаягийг хэрхэн мэдэхийг шийднэ; траффикийн шүүлтүүр тэр траффик холболтыг ашиглаж болох эсэхийг шийднэ; зорилгын галт хана болон аппын зөвшөөрөл хүсэлтийг хүлээж авах эсэхийг шийднэ. Эдгээрийн аль нь ч холбогдсон туннелиас гарахгүй.

2-р алхам: Аль туннель тээх ёстойг тодорхойлоорой

Windows Always On VPN-д төхөөрөмжийн туннель болон хэрэглэгчийн туннель байдаг бөгөөд тэдгээр нь тусдаа гэрчилгээ, хүрээтэй тусдаа профайл хэлбэрээр тохируулагддаг. Төхөөрөмжийн туннель ихэвчлэн нэвтрэхээс өмнө хэрэгтэй дэд бүтцийг л тээдэг, жишээ нь удирдлага ба домэйн үйлчилгээ; ажилтнуудын өргөн апп хандалт хэрэглэгчийн туннельд хамаарна.

Траффикийн шүүлтүүр нь төхөөрөмжийн туннелийн шинж чанар тул Microsoft-ийн жишээ тэдгээрийг удирдлагын траффикт ашигладаг. Тэр жишээг ерөнхий нөөцийн профайлд хуулбал холбогддог боловч буруу багцыг тээдэг туннель гарна. Get-VpnConnection-ээр идэвхтэй холболтыг баталж, тэр холболтын дор шалгаарай.

3-р алхам: Бодит хаягийн маршрутыг шалгаарай

Нэрийг нэг удаа шийдэж, дараа нь маршрутыг хар: Find-NetRoute -RemoteIPAddress 10.20.5.10 сонгосон интерфейс, дараагийн үсрэлт, эх хаягийг харуулна. Интерфейс нь физик адаптер бол префикс туннелийн маршрутын багцад байхгүй эсвэл клиент хуваасан туннелээр түүнийг хассан. Локал маршрут нэмэхийн оронд профайлын тодорхойлолттой харьцуул.

Локал route add шалгалтыг давуулж, дараагийн бодлогын шинэчлэлтэд алга болж болзошгүй тул өөрчлөлт нь удирдуулсан профайлд хамаарна. Хэрэглэгч болон төхөөрөмжийн профайл хоёуланд префиксийг шалгаж, хуваасан туннелийн тохиргоог үз: бүрэн туннель префикс бүрт маршрут шаардахгүй, хуваасан туннель тээх хувийн префикс бүрт нэгийг шаардана.

4-р алхам: Хувийн нэрийн шийдлийг тусад нь шалгаарай

Хувийн нэрс өөрийн бодлогын замтай. Профайл NRPT дүрэм болон DNS дагаврын хайлтын жагсаалтыг хүргэж болох бөгөөд туннель босоо байх хугацаанд хүчинтэй. Клиент үнэхээр юу авсныг Get-DnsClientNrptPolicy-ээр уншаад, мөнөөх сесс дотор нэр ба хаягийг шалга. Хаяг ажиллаж байхад нэр унавал шийдэгч; хоёулаа унавал маршрут.

Нэр туннелийн маршрутаас гадуур хаяг руу ч шийдэгдэж болох бөгөөд энэ нь амжилт ба хугацаа дуусахыг холино. Буцаж ирсэн хаягийг бүртгэл дэх префикстэй харьцуул; ялгаатай бол хувийн бүс нийтийн эсвэл өөр хаягаар хариулж байна, тохирсон маршрут нь зохиосон маршрут биш.

5-р алхам: Шүүлтүүр, таних тэмдэг, аппын өөрийн хаалгыг шалгаарай

Траффикийн шүүлтүүр аль протокол, порт төхөөрөмжийн туннелийг ашиглаж болохыг хязгаарладаг ба нарийн багц маршрутын тээх нөөцийг хааж болно. Профайл холболтыг бүлэгт оноодог ч нөөц өөрийн эрх мэдэлтэй: холбогдож чадах хэрэглэгчийг файлын сервер автоматаар хүлээж авдаггүй.

Удирдуулсан профайлыг эзэмшигчээр нь өөрчил, Intune бай, ProfileXML байршуулалт эсвэл ажиллагааны скрипт бай, дараа нь ердийн дахин холболт ба дахин ачаалсны дараа дахин шалга: ердийн алдаа нь хуучирсан локал маршрут эсвэл нэг л удаа хэрэглэсэн профайл. Профайлын хувилбарыг шалгалтын үр дүнгийн дэргэд хадгал.