Apparaattunnel of gebruikerstunnel in Windows Always On VPN?

Een laptop die vanaf het aanmeldscherm een beheerserver moet bereiken en een laptop die na authenticatie van de gebruiker bestandsshares moet bereiken, zijn twee verschillende problemen. Windows lost ze op met twee verschillende tunnels, en het verschil is niet welke in de profiellijst verschijnt. De apparaattunnel draait als de machine, voordat iemand zich aanmeldt. De gebruikerstunnel draait als de persoon, nadat het platform een identiteit heeft om mee te werken. Kiezen tussen beide begint bij het moment waarop het verkeer moet stromen, niet bij de resources die het moet bereiken.

Twee identiteiten, twee momenten

De apparaattunnel wordt in machinecontext opgezet, daarom kan hij het verkeer dragen dat nodig is om een gebruiker te verifiëren of om beheeragenten zich vóór aanmelding te laten melden. De gebruikerstunnel wordt in gebruikerscontext opgezet, na aanmelding, met de referenties van de gebruiker en het beleid dat op dat account van toepassing is.

Dat tijdsverschil is het hele ontwerp. Al het andere volgt daaruit, inclusief welke verificatiemethoden beschikbaar zijn en welke resources zinvol zijn.

Als de eis een bedrijfsapplicatie is die door een aangemelde persoon wordt gebruikt, antwoordt de gebruikerstunnel daarop. Als de eis een domeincontroller, een certificeringsinstantie of een beheerservice is die vanaf het aanmeldscherm bereikbaar is, is alleen de apparaattunnel vroeg genoeg.

Het telefoonboek is het onderscheid niet

Een native profiel in het telefoonboek van alle gebruikers opslaan maakt geen apparaattunnel. Het profiel wordt beschikbaar voor elke gebruiker op de machine, wat een kwestie van opslagbereik is, en het maakt nog steeds verbinding in gebruikerscontext.

Een echte apparaattunnel wordt als zodanig geconfigureerd, met de platform-, protocol- en certificaatvereisten die Microsoft daarvoor documenteert. Die vereisten omvatten een editie die hem ondersteunt, een apparaat dat aan het domein is gekoppeld, IKEv2 en verificatie met een machinecertificaat. Een profiel met de naam device, gekopieerd van een gebruikerstunnel en hernoemd, voldoet aan niets daarvan.

De Microsoft-documentatie over de apparaattunnel is de referentie voor de vorm van het profiel, en het loont om die te lezen voordat u aanneemt dat een werkend gebruikersprofiel kan worden hergebruikt.

Houd elk pad smal

De apparaattunnel zou alleen moeten bereiken wat de machine vóór aanmelding nodig heeft: de map, de certificeringsinstantie, het beheereindpunt en de DNS-records die deze oplossen. De routes en firewallregels zouden die korte lijst moeten weerspiegelen en niet het volledige bedrijfsbereik.

De gebruikerstunnel draagt de toegang van de persoon en kan naar groep, applicatie of bestemming worden beperkt zoals de uitrol vereist. De twee bereiken mengen is de manier waarop een tunnel vóór aanmelding toegang krijgt tot bestandsshares die geen enkel machineaccount ooit zou mogen hebben.

Beide tunnels kunnen samen worden uitgerold, en in de meeste Always On-ontwerpen gebeurt dat ook. De apparaattunnel komt eerst op en blijft smal. De gebruikerstunnel komt bij aanmelding op en draagt het werkverkeer. Als u er maar één uitrolt, beslis dan met welke storing u kunt leven. Een aanmeldscherm zonder netwerk en een gebruikerstunnel die beheerverkeer draagt zijn beide slecht, maar meestal is slechts één van beide acceptabel in uw omgeving.

Test de fase, niet de browser

Een werkend browserverzoek na aanmelding bewijst de gebruikerstunnel en zegt niets over de apparaattunnel. Test de fasen apart: koude start tot het aanmeldscherm, de aanmelding zelf, de verbinding van de gebruiker en herstel na slaapstand of een netwerkwijziging.

Op het aanmeldscherm is de controle of de machine het beheereindpunt kan bereiken zonder aangemelde gebruiker. Dat is het enige moment waarop de apparaattunnel op zichzelf bestaat, en het is de fase die mensen overslaan omdat het testen ervan een herstart vereist.

Controleer na aanmelding de gebruikerstunnel apart, inclusief het geval waarin de apparaattunnel actief is maar de gebruikerstunnel is mislukt. Twee tunnels met twee toestanden geven vier combinaties, en slechts één daarvan ziet er gezond uit.

Noem bij een storing eerst de tunnel

Vernieuwing van het machinecertificaat en herstel van een gebruikersaccount zijn verschillende taken met verschillende eigenaren. Een apparaattunnel die na het verlopen van een certificaat mislukt, wordt niet gerepareerd door de referenties van de gebruiker opnieuw in te stellen, en een gebruikerstunnel die na een wachtwoordwijziging mislukt, wordt niet gerepareerd door het machinecertificaat opnieuw uit te geven.

Noteer welke tunnel actief was, welke identiteit hij gebruikte en welke fase mislukte, en vergelijk dat met de gedocumenteerde vereisten voor de gebruikte editie en beheeromgeving. Het kopiëren van een oude generieke VPN-wizard is de manier waarop uitrollen eindigen met een apparaattunnel die alleen voor beheerders werkt.

Werkvolgorde: noem het moment waarop het verkeer moet stromen, kies de tunnel die op dat moment bestaat, vernauw de routes, test elke levenscyclusfase apart en houd de herstelprocedures van de twee identiteiten gescheiden.