Túnel de dispositivo ou túnel de utilizador no Windows Always On VPN?

Um portátil que tem de alcançar um servidor de gestão a partir do ecrã de início de sessão e um portátil que tem de alcançar partilhas de ficheiros depois de o utilizador se autenticar são dois problemas diferentes. O Windows resolve-os com dois túneis diferentes, e a diferença não está em qual aparece na lista de perfis. O túnel de dispositivo funciona como a máquina, antes de alguém iniciar sessão. O túnel de utilizador funciona como a pessoa, depois de a plataforma ter uma identidade com que trabalhar. A escolha entre os dois começa no momento em que o tráfego tem de fluir, não nos recursos a que tem de chegar.

Duas identidades, dois momentos

O túnel de dispositivo é estabelecido no contexto de máquina, razão pela qual pode transportar o tráfego necessário para autenticar um utilizador ou para que os agentes de gestão se registem antes do início de sessão. O túnel de utilizador é estabelecido no contexto de utilizador, após o início de sessão, com as credenciais do utilizador e a política aplicável a essa conta.

Essa diferença temporal é todo o desenho. Tudo o resto decorre dela, incluindo que métodos de autenticação estão disponíveis e que recursos fazem sentido.

Se o requisito for uma aplicação de negócio utilizada por uma pessoa com sessão iniciada, o túnel de utilizador responde. Se o requisito for um controlador de domínio, uma autoridade de certificação ou um serviço de gestão acessível a partir do ecrã de início de sessão, só o túnel de dispositivo é suficientemente precoce.

A lista telefónica não é a distinção

Guardar um perfil nativo na lista telefónica de todos os utilizadores não cria um túnel de dispositivo. O perfil fica disponível para cada utilizador na máquina, o que é uma questão de âmbito de armazenamento, e continua a ligar-se em contexto de utilizador.

Um túnel de dispositivo real é configurado como tal, com os requisitos de plataforma, protocolo e certificado que a Microsoft documenta para ele. Esses requisitos incluem uma edição que o suporte, um dispositivo associado ao domínio, IKEv2 e autenticação com certificado de máquina. Um perfil chamado device, copiado de um túnel de utilizador e renomeado, não cumpre nada disso.

A documentação da Microsoft sobre o túnel de dispositivo é a referência para a forma do perfil, e vale a pena lê-la antes de assumir que um perfil de utilizador funcional pode ser reutilizado.

Mantenha cada caminho estreito

O túnel de dispositivo só deve alcançar o que a máquina precisa antes do início de sessão: o diretório, a autoridade de certificação, o ponto final de gestão e os registos DNS que os resolvem. As suas rotas e regras de firewall devem refletir essa lista curta e não o intervalo corporativo completo.

O túnel de utilizador transporta o acesso da pessoa e pode ser limitado por grupo, aplicação ou destino conforme a implementação exigir. Misturar os dois âmbitos é a forma como um túnel anterior ao início de sessão acaba com acesso a partilhas de ficheiros que nenhuma conta de máquina deveria ter.

Os dois túneis podem ser implementados em conjunto, e na maioria dos desenhos Always On é o que acontece. O túnel de dispositivo sobe primeiro e mantém-se estreito. O túnel de utilizador sobe no início de sessão e transporta o tráfego de trabalho. Se implementar apenas um, decida com que falha consegue viver. Um ecrã de início de sessão sem rede e um túnel de utilizador a transportar tráfego de gestão são ambos maus, mas normalmente só um deles é aceitável no seu ambiente.

Teste a etapa, não o navegador

Um pedido de navegador bem-sucedido após o início de sessão prova o túnel de utilizador e não diz nada sobre o túnel de dispositivo. Teste as etapas em separado: arranque a frio até ao ecrã de início de sessão, o próprio início de sessão, a ligação do utilizador e a recuperação após suspensão ou alteração de rede.

No ecrã de início de sessão, a verificação é se a máquina consegue alcançar o ponto final de gestão sem qualquer utilizador com sessão iniciada. É o único momento em que o túnel de dispositivo existe sozinho, e é a etapa que as pessoas saltam porque testá-la exige reiniciar.

Após o início de sessão, verifique o túnel de utilizador em separado, incluindo o caso em que o túnel de dispositivo está ativo mas o túnel de utilizador falhou. Dois túneis com dois estados produzem quatro combinações, e só uma delas parece saudável.

Quando falha, nomeie primeiro o túnel

A renovação do certificado de máquina e a recuperação da conta de utilizador são tarefas diferentes com proprietários diferentes. Um túnel de dispositivo que falha após a expiração de um certificado não fica resolvido com a reposição das credenciais do utilizador, e um túnel de utilizador que falha após uma alteração de palavra-passe não fica resolvido com a reemissão do certificado de máquina.

Registe qual túnel estava ativo, que identidade usava e que etapa falhou, e compare isso com os requisitos documentados para a edição e o ambiente de gestão em uso. Copiar um antigo assistente de VPN genérico é a forma como as implementações acabam com um túnel de dispositivo que só funciona para administradores.

Ordem de trabalho: nomeie o momento em que o tráfego tem de fluir, escolha o túnel que existe nesse momento, estreite as suas rotas, teste cada etapa do ciclo de vida em separado e mantenha separados os procedimentos de recuperação das duas identidades.