Tunel urządzenia czy tunel użytkownika w Windows Always On VPN?

Laptop, który musi dotrzeć do serwera zarządzania z ekranu logowania, i laptop, który musi dotrzeć do udziałów plików po uwierzytelnieniu użytkownika, to dwa różne problemy. Windows rozwiązuje je dwoma różnymi tunelami, a różnica nie polega na tym, który pojawia się na liście profili. Tunel urządzenia działa jako maszyna, zanim ktokolwiek się zaloguje. Tunel użytkownika działa jako osoba, po tym jak platforma ma tożsamość, z którą może pracować. Wybór między nimi zaczyna się od momentu, w którym ruch musi płynąć, a nie od zasobów, do których musi dotrzeć.

Dwie tożsamości, dwa momenty

Tunel urządzenia jest ustanawiany w kontekście maszyny, dlatego może przenosić ruch potrzebny do uwierzytelnienia użytkownika albo do tego, by agenci zarządzania zgłosili się przed logowaniem. Tunel użytkownika jest ustanawiany w kontekście użytkownika, po zalogowaniu, z poświadczeniami użytkownika i zasadami obowiązującymi dla tego konta.

Ta różnica czasu to cały projekt. Wszystko inne z niej wynika, łącznie z tym, jakie metody uwierzytelniania są dostępne i które zasoby mają sens.

Jeśli wymaganiem jest aplikacja biznesowa używana przez zalogowaną osobę, odpowiada na nie tunel użytkownika. Jeśli wymaganiem jest kontroler domeny, urząd certyfikacji lub usługa zarządzania dostępna z ekranu logowania, wystarczająco wcześnie działa tylko tunel urządzenia.

Książka telefoniczna nie jest tym rozróżnieniem

Zapisanie profilu natywnego w książce telefonicznej wszystkich użytkowników nie tworzy tunelu urządzenia. Profil staje się dostępny dla każdego użytkownika maszyny, co jest kwestią zakresu przechowywania, i nadal łączy się w kontekście użytkownika.

Prawdziwy tunel urządzenia jest konfigurowany właśnie tak, z wymaganiami dotyczącymi platformy, protokołu i certyfikatu, które Microsoft dokumentuje dla niego. Te wymagania obejmują wydanie, które go obsługuje, urządzenie przyłączone do domeny, IKEv2 i uwierzytelnianie certyfikatem maszyny. Profil o nazwie device, skopiowany z tunelu użytkownika i przemianowany, nie spełnia niczego z tego.

Dokumentacja firmy Microsoft dotycząca tunelu urządzenia jest punktem odniesienia dla kształtu profilu i warto ją przeczytać, zanim założy się, że działający profil użytkownika można wykorzystać ponownie.

Utrzymuj każdą ścieżkę wąską

Tunel urządzenia powinien docierać tylko do tego, czego maszyna potrzebuje przed logowaniem: katalogu, urzędu certyfikacji, punktu końcowego zarządzania i rekordów DNS, które je rozwiązują. Jego trasy i reguły zapory powinny odzwierciedlać tę krótką listę, a nie cały zakres korporacyjny.

Tunel użytkownika przenosi dostęp osoby i można go ograniczyć według grupy, aplikacji lub miejsca docelowego, jak wymaga wdrożenie. Mieszanie obu zakresów to sposób, w jaki tunel sprzed logowania zyskuje dostęp do udziałów plików, którego nie powinno mieć żadne konto maszyny.

Oba tunele można wdrażać razem i w większości projektów Always On tak się dzieje. Tunel urządzenia podnosi się pierwszy i pozostaje wąski. Tunel użytkownika podnosi się przy logowaniu i przenosi ruch roboczy. Jeśli wdrażasz tylko jeden, zdecyduj, z jaką awarią możesz żyć. Ekran logowania bez sieci i tunel użytkownika przenoszący ruch zarządzania są oba złe, ale zwykle tylko jeden z nich jest akceptowalny w twoim środowisku.

Testuj etap, nie przeglądarkę

Działające żądanie przeglądarki po zalogowaniu dowodzi tunelu użytkownika i nic nie mówi o tunelu urządzenia. Testuj etapy osobno: zimny start do ekranu logowania, samo logowanie, połączenie użytkownika i odzyskiwanie po uśpieniu lub zmianie sieci.

Na ekranie logowania sprawdzenie polega na tym, czy maszyna może dotrzeć do punktu końcowego zarządzania bez zalogowanego użytkownika. To jedyny moment, w którym tunel urządzenia istnieje sam, i to etap, który ludzie pomijają, ponieważ jego testowanie wymaga ponownego uruchomienia.

Po zalogowaniu sprawdź tunel użytkownika osobno, w tym przypadek, w którym tunel urządzenia działa, ale tunel użytkownika zawiódł. Dwa tunele z dwoma stanami dają cztery kombinacje i tylko jedna z nich wygląda zdrowo.

Gdy to zawiedzie, najpierw nazwij tunel

Odnowienie certyfikatu maszyny i odzyskanie konta użytkownika to różne zadania z różnymi właścicielami. Tunel urządzenia, który zawodzi po wygaśnięciu certyfikatu, nie zostanie naprawiony przez zresetowanie poświadczeń użytkownika, a tunel użytkownika, który zawodzi po zmianie hasła, nie zostanie naprawiony przez ponowne wydanie certyfikatu maszyny.

Zapisz, który tunel był aktywny, jakiej tożsamości używał i który etap zawiódł, a następnie porównaj to z udokumentowanymi wymaganiami dla używanego wydania i środowiska zarządzania. Kopiowanie starego ogólnego kreatora VPN to sposób, w jaki wdrożenia kończą się tunelem urządzenia, który działa tylko dla administratorów.

Kolejność pracy: nazwij moment, w którym ruch musi płynąć, wybierz tunel, który w tym momencie istnieje, zwęź jego trasy, testuj każdy etap cyklu życia osobno i utrzymuj procedury odzyskiwania obu tożsamości osobno.