Enhetstunnel eller brukertunnel i Windows Always On VPN?

En bærbar PC som må nå en administrasjonsserver fra påloggingsskjermen, og en bærbar PC som må nå filutdelinger etter at brukeren er autentisert, er to forskjellige problemer. Windows løser dem med to forskjellige tunneler, og forskjellen er ikke hvilken som vises i profillisten. Enhetstunnelen kjører som maskinen, før noen logger på. Brukertunnelen kjører som personen, etter at plattformen har en identitet å arbeide med. Valget mellom dem begynner med øyeblikket da trafikken må flyte, ikke med ressursene den må nå.

To identiteter, to øyeblikk

Enhetstunnelen etableres i maskinkontekst, og derfor kan den bære trafikken som trengs for å autentisere en bruker, eller for at administrasjonsagenter skal melde seg før pålogging. Brukertunnelen etableres i brukerkontekst, etter pålogging, med brukerens legitimasjon og policyen som gjelder for den kontoen.

Den tidsforskjellen er hele designet. Alt annet følger av den, inkludert hvilke autentiseringsmetoder som er tilgjengelige, og hvilke ressurser som gir mening.

Hvis kravet er en forretningsapplikasjon som en pålogget person bruker, svarer brukertunnelen på det. Hvis kravet er en domenekontroller, en sertifikatmyndighet eller en administrasjonstjeneste som er tilgjengelig fra påloggingsskjermen, er bare enhetstunnelen tidlig nok.

Telefonboken er ikke forskjellen

Å lagre en opprinnelig profil i telefonboken for alle brukere lager ikke en enhetstunnel. Profilen blir tilgjengelig for hver bruker på maskinen, noe som er et spørsmål om lagringsomfang, og den kobler fortsatt til i brukerkontekst.

En ekte enhetstunnel konfigureres som nettopp det, med plattform-, protokoll- og sertifikatkravene som Microsoft dokumenterer for den. Kravene omfatter en utgave som støtter den, en domenetilkoblet enhet, IKEv2 og autentisering med maskinsertifikat. En profil som heter device, kopiert fra en brukertunnel og gitt nytt navn, oppfyller ingenting av dette.

Microsofts dokumentasjon om enhetstunnelen er referansen for profilens form, og den er verdt å lese før du antar at en fungerende brukerprofil kan gjenbrukes.

Hold hver vei smal

Enhetstunnelen bør bare nå det maskinen trenger før pålogging: katalogen, sertifikatmyndigheten, administrasjonsendepunktet og DNS-oppføringene som løser dem. Rutene og brannmurreglene bør gjenspeile den korte listen og ikke hele virksomhetens område.

Brukertunnelen bærer personens tilgang og kan begrenses etter gruppe, applikasjon eller destinasjon slik utrullingen krever. Å blande de to omfangene er måten en tunnel før pålogging ender med filutdelingstilgang som ingen maskinkonto noen gang bør ha.

Begge tunnelene kan rulles ut sammen, og i de fleste Always On-design er det tilfellet. Enhetstunnelen kommer opp først og forblir smal. Brukertunnelen kommer opp ved pålogging og bærer arbeidstrafikken. Hvis du bare ruller ut én, må du bestemme hvilken feil du kan leve med. En påloggingsskjerm uten nettverk og en brukertunnel som bærer administrasjonstrafikk er begge dårlige, men vanligvis er bare én av dem akseptabel i ditt miljø.

Test fasen, ikke nettleseren

En fungerende nettleserforespørsel etter pålogging beviser brukertunnelen og sier ingenting om enhetstunnelen. Test fasene separat: kaldstart til påloggingsskjermen, selve påloggingen, brukerforbindelsen og gjenoppretting etter dvale eller et nettverksbytte.

På påloggingsskjermen er kontrollen om maskinen kan nå administrasjonsendepunktet uten noen pålogget bruker. Det er det eneste øyeblikket enhetstunnelen finnes alene, og det er fasen folk hopper over fordi testingen krever omstart.

Etter pålogging, kontroller brukertunnelen separat, inkludert tilfellet der enhetstunnelen er oppe men brukertunnelen mislyktes. To tunneler med to tilstander gir fire kombinasjoner, og bare én av dem ser sunn ut.

Når det mislykkes, navngi tunnelen først

Fornyelse av maskinsertifikat og gjenoppretting av brukerkonto er forskjellige oppgaver med forskjellige eiere. En enhetstunnel som mislykkes etter at et sertifikat er utløpt, blir ikke rettet ved å tilbakestille brukerens legitimasjon, og en brukertunnel som mislykkes etter en passordendring, blir ikke rettet ved å utstede maskinsertifikatet på nytt.

Noter hvilken tunnel som var aktiv, hvilken identitet den brukte og hvilken fase som mislyktes, og sammenlign det med de dokumenterte kravene for utgaven og administrasjonsmiljøet som brukes. Å kopiere en gammel generisk VPN-veiviser er måten utrullinger ender med en enhetstunnel som bare virker for administratorer.

Arbeidsrekkefølge: navngi øyeblikket trafikken må flyte, velg tunnelen som finnes i det øyeblikket, snevre inn rutene, test hver livssyklusfase separat, og hold gjenopprettingsprosedyrene for de to identitetene atskilt.