Terowong peranti atau terowong pengguna dalam Windows Always On VPN?

Komputer riba yang perlu mencapai pelayan pengurusan dari skrin log masuk dan komputer riba yang perlu mencapai perkongsian fail selepas pengguna disahkan ialah dua masalah berbeza. Windows menyelesaikannya dengan dua terowong berbeza, dan perbezaannya bukan yang mana muncul dalam senarai profil. Terowong peranti berjalan sebagai mesin, sebelum sesiapa log masuk. Terowong pengguna berjalan sebagai orang, selepas platform mempunyai identiti untuk digunakan. Memilih antara keduanya bermula pada saat trafik mesti mengalir, bukan pada sumber yang perlu dicapai.

Dua identiti, dua saat

Terowong peranti diwujudkan dalam konteks mesin, sebab itu ia boleh membawa trafik yang diperlukan untuk mengesahkan pengguna atau membenarkan ejen pengurusan melapor sebelum log masuk. Terowong pengguna diwujudkan dalam konteks pengguna, selepas log masuk, dengan kelayakan pengguna dan dasar yang terpakai pada akaun itu.

Perbezaan masa itulah keseluruhan reka bentuk. Segala-galanya mengikut daripadanya, termasuk kaedah pengesahan yang tersedia dan sumber yang masuk akal.

Jika keperluan ialah aplikasi perniagaan yang digunakan oleh orang yang telah log masuk, terowong pengguna menjawabnya. Jika keperluan ialah pengawal domain, pihak berkuasa sijil atau perkhidmatan pengurusan yang boleh dicapai dari skrin log masuk, hanya terowong peranti cukup awal.

Buku telefon bukanlah perbezaannya

Menyimpan profil asli dalam buku telefon semua pengguna tidak mencipta terowong peranti. Profil itu menjadi tersedia kepada setiap pengguna pada mesin, yang merupakan persoalan skop storan, dan ia masih bersambung dalam konteks pengguna.

Terowong peranti sebenar dikonfigurasikan sebagai sedemikian, dengan keperluan platform, protokol dan sijil yang didokumenkan Microsoft untuknya. Keperluan itu termasuk edisi yang menyokongnya, peranti yang disertai domain, IKEv2 dan pengesahan sijil mesin. Profil bernama device, disalin daripada terowong pengguna dan dinamakan semula, tidak memenuhi satu pun daripadanya.

Dokumentasi Microsoft tentang terowong peranti ialah rujukan untuk bentuk profil, dan ia wajar dibaca sebelum menganggap profil pengguna yang berfungsi boleh digunakan semula.

Kekalkan setiap laluan sempit

Terowong peranti sepatutnya hanya mencapai apa yang mesin perlukan sebelum log masuk: direktori, pihak berkuasa sijil, titik akhir pengurusan dan rekod DNS yang menyelesaikannya. Laluan dan peraturan tembok apinya sepatutnya mencerminkan senarai pendek itu dan bukan julat korporat penuh.

Terowong pengguna membawa akses orang itu dan boleh dihadkan mengikut kumpulan, aplikasi atau destinasi seperti yang dikehendaki oleh penggunaan. Mencampurkan kedua-dua skop itulah cara terowong sebelum log masuk mendapat akses perkongsian fail yang tidak sepatutnya dimiliki oleh mana-mana akaun mesin.

Kedua-dua terowong boleh digunakan bersama, dan dalam kebanyakan reka bentuk Always On begitulah dilakukan. Terowong peranti naik dahulu dan kekal sempit. Terowong pengguna naik semasa log masuk dan membawa trafik kerja. Jika anda menggunakan satu sahaja, tentukan kegagalan mana yang boleh anda tanggung. Skrin log masuk tanpa rangkaian dan terowong pengguna yang membawa trafik pengurusan kedua-duanya buruk, tetapi biasanya hanya satu daripadanya boleh diterima dalam persekitaran anda.

Uji peringkatnya, bukan pelayar

Permintaan pelayar yang berjaya selepas log masuk membuktikan terowong pengguna dan tidak berkata apa-apa tentang terowong peranti. Uji peringkat itu secara berasingan: permulaan sejuk hingga skrin log masuk, log masuk itu sendiri, sambungan pengguna, dan pemulihan selepas tidur atau perubahan rangkaian.

Pada skrin log masuk, pemeriksaannya ialah sama ada mesin boleh mencapai titik akhir pengurusan tanpa pengguna yang log masuk. Itulah satu-satunya saat terowong peranti wujud sendirian, dan itulah peringkat yang orang langkau kerana mengujinya memerlukan but semula.

Selepas log masuk, periksa terowong pengguna secara berasingan, termasuk kes apabila terowong peranti aktif tetapi terowong pengguna gagal. Dua terowong dengan dua keadaan menghasilkan empat gabungan, dan hanya satu daripadanya kelihatan sihat.

Apabila ia gagal, namakan terowong dahulu

Pembaharuan sijil mesin dan pemulihan akaun pengguna ialah tugas berbeza dengan pemilik berbeza. Terowong peranti yang gagal selepas sijil tamat tempoh tidak akan dibaiki dengan menetapkan semula kelayakan pengguna, dan terowong pengguna yang gagal selepas pertukaran kata laluan tidak akan dibaiki dengan mengeluarkan semula sijil mesin.

Catat terowong mana yang aktif, identiti mana yang digunakan dan peringkat mana yang gagal, kemudian bandingkan dengan keperluan berdokumen untuk edisi dan persekitaran pengurusan yang digunakan. Menyalin wizard VPN generik lama ialah cara penggunaan berakhir dengan terowong peranti yang hanya berfungsi untuk pentadbir.

Urutan kerja: namakan saat trafik mesti mengalir, pilih terowong yang wujud pada saat itu, sempitkan laluannya, uji setiap peringkat kitaran hayat secara berasingan, dan asingkan prosedur pemulihan kedua-dua identiti.