Always On VPN bukan akses LAN: senarai semak sumber

Always On ialah kitaran hayat sambungan: profil bersambung semasa atau sebelum log masuk dan bersambung semula tanpa pengguna menekan apa-apa. Itu tidak bermakna setiap destinasi peribadi, protokol dan pengguna dibenarkan. Persoalan praktikalnya ialah sumber mana yang benar-benar dihantar oleh profil yang diguna pakai, dan jawapannya memerlukan semakan setiap sumber, bukan pandangan pada lencana Connected.

Langkah 1: Catat sumber sebelum mengujinya

Mulakan dengan satu rekod ringkas bagi setiap aplikasi, diambil daripada persekitaran sebenar: nama, awalan destinasi, perkhidmatan dan port, peranan terowong, kumpulan identiti dan laluan penyelesai.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Rekod itu memaksa empat soalan berasingan. Laluan menentukan ke mana alamat pergi; dasar DNS menentukan bagaimana klien mengetahui alamat; penapis trafik menentukan sama ada trafik itu boleh menggunakan sambungan; tembok api destinasi dan kebenaran aplikasi menentukan sama ada permintaan diterima. Tiada satu pun daripada empat itu datang daripada terowong yang bersambung.

Langkah 2: Tentukan terowong mana yang harus membawanya

Windows Always On VPN mempunyai terowong peranti dan terowong pengguna, dikonfigurasi sebagai profil berasingan dengan sijil dan skop berasingan. Terowong peranti biasanya hanya membawa infrastruktur yang diperlukan sebelum log masuk, seperti pengurusan dan perkhidmatan domain; akses aplikasi yang luas untuk pekerja tergolong dalam terowong pengguna.

Penapis trafik ialah ciri terowong peranti, sebab itu contoh Microsoft menggunakannya untuk trafik pengurusan. Menyalin contoh itu ke dalam profil sumber am memberi terowong yang bersambung tetapi membawa set yang salah. Sahkan sambungan aktif dengan Get-VpnConnection dan uji di bawah sambungan itu.

Langkah 3: Sahkan laluan untuk alamat sebenar

Selesaikan nama sekali, kemudian periksa laluan: Find-NetRoute -RemoteIPAddress 10.20.5.10 melaporkan antara muka yang dipilih, hop seterusnya dan alamat sumber. Jika antara muka ialah penyesuai fizikal, awalan tiada dalam set laluan terowong atau klien mengecualikannya melalui terowong berpecah. Bandingkan dengan definisi profil dan bukan menambah laluan setempat.

route add setempat boleh meluluskan ujian dan hilang pada penyegaran dasar seterusnya, jadi perubahan itu tergolong dalam profil terurus. Periksa awalan dalam profil pengguna dan peranti, dan periksa tetapan terowong berpecah: terowong penuh tidak memerlukan laluan bagi setiap awalan, terowong berpecah memerlukan satu bagi setiap awalan peribadi yang dibawanya.

Langkah 4: Uji penyelesaian nama peribadi secara berasingan

Nama peribadi mempunyai laluan dasar tersendiri. Profil boleh menghantar peraturan NRPT dan senarai carian akhiran DNS, yang sah selagi terowong aktif. Baca dengan Get-DnsClientNrptPolicy apa yang benar-benar diterima klien, kemudian uji satu nama dan satu alamat dalam sesi yang sama. Nama gagal sementara alamat berfungsi menunjuk kepada penyelesai; kedua-duanya gagal menunjuk kepada laluan.

Nama juga boleh diselesaikan kepada alamat di luar laluan terowong, yang mencampurkan kejayaan dengan tamat masa. Bandingkan alamat yang dikembalikan dengan awalan dalam rekod anda; jika berbeza, zon peribadi menjawab dengan alamat awam atau alternatif dan laluan yang sepadan bukan yang direka.

Langkah 5: Periksa penapis, identiti dan pintu aplikasi itu sendiri

Penapis trafik mengehadkan protokol dan port mana yang boleh menggunakan terowong peranti, dan set yang sempit boleh menyekat sumber yang akan dibawa oleh laluan. Profil memberikan sambungan kepada kumpulan, tetapi sumber mempunyai kebenarannya sendiri: pengguna yang boleh bersambung tidak diterima secara automatik oleh pelayan fail.

Tukar profil terurus melalui pemiliknya, sama ada Intune, penggunaan ProfileXML atau skrip operasi, kemudian uji semula selepas sambungan semula biasa dan selepas but semula: kegagalan biasa ialah laluan setempat yang lapuk atau profil yang digunakan sekali sahaja. Simpan versi profil di sebelah hasil ujian.