Tunel de dispozitiv sau tunel de utilizator în Windows Always On VPN?

Un laptop care trebuie să ajungă la un server de administrare de pe ecranul de autentificare și un laptop care trebuie să ajungă la partajări de fișiere după autentificarea utilizatorului sunt două probleme diferite. Windows le rezolvă cu două tuneluri diferite, iar diferența nu este care dintre ele apare în lista de profiluri. Tunelul de dispozitiv rulează ca mașină, înainte ca cineva să se conecteze. Tunelul de utilizator rulează ca persoană, după ce platforma are o identitate cu care să lucreze. Alegerea între ele începe cu momentul în care traficul trebuie să curgă, nu cu resursele la care trebuie să ajungă.

Două identități, două momente

Tunelul de dispozitiv este stabilit în contextul mașinii, motiv pentru care poate transporta traficul necesar autentificării unui utilizator sau pentru ca agenții de administrare să raporteze înainte de conectare. Tunelul de utilizator este stabilit în contextul utilizatorului, după conectare, cu acreditările utilizatorului și politica aplicabilă acelui cont.

Această diferență de moment este întregul proiect. Tot restul decurge din ea, inclusiv ce metode de autentificare sunt disponibile și ce resurse au sens.

Dacă cerința este o aplicație de business folosită de o persoană conectată, tunelul de utilizator răspunde. Dacă cerința este un controler de domeniu, o autoritate de certificare sau un serviciu de administrare accesibil de pe ecranul de autentificare, doar tunelul de dispozitiv este suficient de devreme.

Cartea de telefon nu este distincția

Salvarea unui profil nativ în cartea de telefon a tuturor utilizatorilor nu creează un tunel de dispozitiv. Profilul devine disponibil pentru fiecare utilizator de pe mașină, ceea ce este o chestiune de scop de stocare, și se conectează în continuare în contextul utilizatorului.

Un tunel de dispozitiv real este configurat ca atare, cu cerințele de platformă, protocol și certificat pe care Microsoft le documentează pentru el. Aceste cerințe includ o ediție care îl acceptă, un dispozitiv unit la domeniu, IKEv2 și autentificare cu certificat de mașină. Un profil numit device, copiat dintr-un tunel de utilizator și redenumit, nu îndeplinește nimic din toate acestea.

Documentația Microsoft despre tunelul de dispozitiv este referința pentru forma profilului și merită citită înainte de a presupune că un profil de utilizator funcțional poate fi reutilizat.

Păstrați îngust fiecare drum

Tunelul de dispozitiv ar trebui să ajungă doar la ce are nevoie mașina înainte de conectare: directorul, autoritatea de certificare, punctul final de administrare și înregistrările DNS care le rezolvă. Rutele și regulile de firewall ar trebui să reflecte acea listă scurtă, nu întregul interval corporativ.

Tunelul de utilizator transportă accesul persoanei și poate fi limitat pe grup, aplicație sau destinație după cum cere implementarea. Amestecarea celor două scopuri este modul în care un tunel dinaintea conectării ajunge cu acces la partajări de fișiere pe care niciun cont de mașină nu ar trebui să îl aibă.

Ambele tuneluri pot fi implementate împreună, și în majoritatea proiectelor Always On așa se întâmplă. Tunelul de dispozitiv apare primul și rămâne îngust. Tunelul de utilizator apare la conectare și transportă traficul de lucru. Dacă implementați doar unul, decideți cu ce defecțiune puteți trăi. Un ecran de autentificare fără rețea și un tunel de utilizator care transportă trafic de administrare sunt ambele rele, dar de obicei doar unul dintre ele este acceptabil în mediul dumneavoastră.

Testați etapa, nu browserul

O cerere de browser care funcționează după conectare dovedește tunelul de utilizator și nu spune nimic despre tunelul de dispozitiv. Testați etapele separat: pornire la rece până la ecranul de autentificare, autentificarea în sine, conexiunea utilizatorului și recuperarea după suspendare sau o schimbare de rețea.

Pe ecranul de autentificare, verificarea este dacă mașina poate ajunge la punctul final de administrare fără niciun utilizator conectat. Este singurul moment în care tunelul de dispozitiv există singur, și este etapa pe care oamenii o sar pentru că testarea ei necesită o repornire.

După conectare, verificați tunelul de utilizator separat, inclusiv cazul în care tunelul de dispozitiv este activ dar tunelul de utilizator a eșuat. Două tuneluri cu două stări produc patru combinații și doar una dintre ele arată sănătos.

Când eșuează, numiți mai întâi tunelul

Reînnoirea certificatului de mașină și recuperarea contului de utilizator sunt sarcini diferite cu proprietari diferiți. Un tunel de dispozitiv care eșuează după expirarea unui certificat nu se repară prin resetarea acreditărilor utilizatorului, iar un tunel de utilizator care eșuează după o schimbare de parolă nu se repară prin reemiterea certificatului de mașină.

Notați care tunel era activ, ce identitate folosea și ce etapă a eșuat, apoi comparați cu cerințele documentate pentru ediția și mediul de administrare folosite. Copierea unui vechi asistent VPN generic este modul în care implementările ajung cu un tunel de dispozitiv care funcționează doar pentru administratori.

Ordinea de lucru: numiți momentul în care traficul trebuie să curgă, alegeți tunelul care există în acel moment, îngustați-i rutele, testați separat fiecare etapă a ciclului de viață și păstrați separate procedurile de recuperare ale celor două identități.