Always On VPN nu este acces la LAN: o listă de verificare a resurselor

Always On este ciclul de viață al unei conexiuni: profilul se conectează la sau înainte de autentificare și se reconectează fără ca utilizatorul să apese ceva. Nu înseamnă că sunt permise orice destinație privată, protocol și utilizator. Întrebarea practică este ce resurse livrează efectiv profilul implementat, iar răspunsul cere o verificare pe fiecare resursă, nu o privire la insigna Connected.

Pasul 1: notați resursa înainte de a o testa

Începeți cu o fișă scurtă pentru fiecare aplicație, luată din mediul real: nume, prefix de destinație, serviciu și port, rolul tunelului, grupul de identitate și calea resolverului.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Fișa impune patru întrebări separate. Ruta decide unde merge adresa; politica DNS decide cum află clientul adresa; filtrul de trafic decide dacă acel trafic poate folosi conexiunea; paravanul și permisiunile aplicației de destinație decid dacă cererea este acceptată. Niciuna dintre cele patru nu decurge dintr-un tunel conectat.

Pasul 2: stabiliți ce tunel ar trebui să o transporte

Windows Always On VPN are un tunel de dispozitiv și un tunel de utilizator, configurate ca profiluri separate, cu certificate și domenii separate. Tunelul de dispozitiv transportă de obicei doar infrastructura necesară înainte de autentificare, cum ar fi administrarea și serviciile de domeniu; accesul larg al angajaților la aplicații aparține tunelului de utilizator.

Filtrele de trafic sunt o funcție a tunelului de dispozitiv, de aceea exemplul Microsoft le folosește pentru trafic de administrare. Copierea acelui exemplu într-un profil general de resurse oferă un tunel care se conectează, dar transportă setul greșit. Confirmați conexiunea activă cu Get-VpnConnection și testați sub acea conexiune.

Pasul 3: verificați ruta pentru adresa reală

Rezolvați numele o dată, apoi verificați ruta: Find-NetRoute -RemoteIPAddress 10.20.5.10 raportează interfața aleasă, următorul salt și adresa sursă. Dacă interfața este adaptorul fizic, prefixul lipsește din setul de rute al tunelului sau clientul l-a exclus prin tunel divizat. Comparați cu definiția profilului în loc să adăugați o rută locală.

O route add locală poate face testul să treacă și poate dispărea la următoarea reîmprospătare de politică, așa că modificarea aparține profilului administrat. Verificați prefixul atât în profilul de utilizator, cât și în cel de dispozitiv, și setarea de tunel divizat: tunelul complet nu are nevoie de rută pe prefix, cel divizat are nevoie de una pentru fiecare prefix privat pe care îl transportă.

Pasul 4: testați separat rezolvarea numelor private

Numele private au propria cale de politică. Profilul poate livra reguli NRPT și o listă de căutare a sufixelor DNS, valabile cât timp tunelul este activ. Citiți cu Get-DnsClientNrptPolicy ce a primit efectiv clientul, apoi testați un nume și o adresă în aceeași sesiune. Dacă numele eșuează în timp ce adresele funcționează, este resolverul; dacă ambele eșuează, este ruta.

Un nume se poate rezolva și într-o adresă din afara rutelor tunelului, ceea ce amestecă succesul cu expirarea. Comparați adresa returnată cu prefixul din fișă; dacă diferă, zona privată răspunde cu o adresă publică sau alternativă, iar ruta potrivită nu este cea proiectată.

Pasul 5: verificați filtrele, identitatea și poarta proprie a aplicației

Filtrele de trafic limitează ce protocoale și porturi pot folosi tunelul de dispozitiv, iar un set îngust poate bloca o resursă pe care ruta ar transporta-o. Profilul atribuie conexiunea unui grup, dar resursa are propria autorizare: un utilizator care se poate conecta nu este acceptat automat de serverul de fișiere.

Modificați profilul administrat prin proprietarul său, fie Intune, o implementare ProfileXML sau un script de operațiuni, apoi retestați după o reconectare normală și după o repornire: defecțiunea obișnuită este o rută locală învechită sau un profil aplicat o singură dată. Păstrați versiunea profilului lângă rezultatul testului.