Einingstunnel eller brukartunnel i Windows Always On VPN?

Ein berbar PC som må nå ein administrasjonsserver frå påloggingsskjermen, og ein berbar PC som må nå filutdelingar etter at brukaren er autentisert, er to ulike problem. Windows løyser dei med to ulike tunnelar, og skilnaden er ikkje kven som visest i profillista. Einingstunnelen køyrer som maskinen, før nokon loggar på. Brukartunnelen køyrer som personen, etter at plattforma har ein identitet å arbeide med. Valet mellom dei byrjar med augneblinken då trafikken må flyte, ikkje med ressursane han må nå.

To identitetar, to augneblinkar

Einingstunnelen vert etablert i maskinkontekst, og difor kan han bera trafikken som trengst for å autentisere ein brukar, eller for at administrasjonsagentar skal melde seg før pålogging. Brukartunnelen vert etablert i brukarkontekst, etter pålogging, med brukaren sine legitimasjon og policyen som gjeld for den kontoen.

Den tidskilnaden er heile designet. Alt anna følgjer av han, inkludert kva autentiseringsmetodar som er tilgjengelege, og kva ressursar som gjev meining.

Viss kravet er ein forretningsapplikasjon som ein pålogga person brukar, svarar brukartunnelen på det. Viss kravet er ein domenekontrollar, ein sertifikatstyresmakt eller ein administrasjonsteneste som er tilgjengeleg frå påloggingsskjermen, er berre einingstunnelen tidleg nok.

Telefonboka er ikkje skilnaden

Å lagre ein opphavleg profil i telefonboka for alle brukarar lagar ikkje ein einingstunnel. Profilen vert tilgjengeleg for kvar brukar på maskinen, noko som er eit spørsmål om lagringsomfang, og han koplar framleis til i brukarkontekst.

Ein ekte einingstunnel vert konfigurert som nettopp det, med plattform-, protokoll- og sertifikatkrava som Microsoft dokumenterer for han. Krava omfattar ei utgåve som støttar han, eining knytt til domenet, IKEv2 og autentisering med maskinsertifikat. Ein profil som heiter device, kopiert frå ein brukartunnel og gjeven nytt namn, oppfyller ingenting av dette.

Microsoft si dokumentasjon om einingstunnelen er referansen for forma på profilen, og han er verd å lese før du reknar med at ein fungerande brukarprofil kan nyttast på nytt.

Hald kvar veg smal

Einingstunnelen bør berre nå det maskinen treng før pålogging: katalogen, sertifikatstyresmakta, administrasjonsendepunktet og DNS-oppføringane som løyser dei. Rutene og brannmurreglane bør spegle den korte lista og ikkje heile verksemdområdet.

Brukartunnelen ber tilgangen til personen og kan avgrensast etter gruppe, applikasjon eller destinasjon slik utrullinga krev. Å blande dei to omfanga er måten ein tunnel før pålogging endar med filutdelings-tilgang som ingen maskinkonto nokon gong bør ha.

Begge tunnelane kan rullast ut saman, og i dei fleste Always On-design er det tilfellet. Einingstunnelen kjem opp først og held seg smal. Brukartunnelen kjem opp ved pålogging og ber arbeidstrafikken. Viss du berre rullar ut éin, må du avgjere kva feil du kan leve med. Ein påloggingsskjerm utan nettverk og ein brukartunnel som ber administrasjonstrafikk er begge dårlege, men vanlegvis er berre éin av dei akseptabel i miljøet ditt.

Test fasen, ikkje nettlesaren

Ein fungerande nettlesarførespurnad etter pålogging beviser brukartunnelen og seier ingenting om einingstunnelen. Test fasane separat: kaldstart til påloggingsskjermen, sjølve pålogginga, brukartilkoplinga og attoppretting etter dvale eller eit nettverksbyte.

På påloggingsskjermen er kontrollen om maskinen kan nå administrasjonsendepunktet utan nokon pålogga brukar. Det er den einaste augneblinken einingstunnelen finst åleine, og det er fasen folk hoppar over fordi testinga krev omstart.

Etter pålogging, kontroller brukartunnelen separat, inkludert tilfellet der einingstunnelen er oppe men brukartunnelen mislukkast. To tunnelar med to tilstandar gjev fire kombinasjonar, og berre éin av dei ser sunn ut.

Når det mislukkast, namnset tunnelen først

Fornying av maskinsertifikat og attoppretting av brukarkonto er ulike oppgåver med ulike eigarar. Ein einingstunnel som mislukkast etter at eit sertifikat er gått ut, vert ikkje retta ved å nullstille legitimasjonen til brukaren, og ein brukartunnel som mislukkast etter ei passordendring, vert ikkje retta ved å gje ut maskinsertifikatet på nytt.

Noter kva tunnel som var aktiv, kva identitet han brukte og kva fase som mislukkast, og samanlikn det med dei dokumenterte krava for utgåva og administrasjonsmiljøet som vert brukt. Å kopiere ein gammal generisk VPN-vegvisar er måten utrullingar endar med ein einingstunnel som berre verkar for administratorar.

Arbeidsrekkjefølgje: namnset augneblinken trafikken må flyte, vel tunnelen som finst i den augneblinken, snevrar inn rutene, test kvar livssyklusfase separat, og hald attopprettingsprosedyrane for dei to identitetane åtskilde.