Туннель устройства или туннель пользователя в Windows Always On VPN?

Ноутбук, которому нужно достучаться до сервера управления с экрана входа, и ноутбук, которому нужен доступ к файловым ресурсам после аутентификации пользователя, — две разные задачи. Windows решает их двумя разными туннелями, и разница не в том, какой из них виден в списке профилей. Туннель устройства работает как машина, до того как кто-либо войдёт в систему. Туннель пользователя работает как человек, после того как у платформы появляется учётная запись, с которой можно работать. Выбор между ними начинается с момента, когда трафик должен пойти, а не с ресурсов, которых нужно достичь.

Две учётные записи, два момента

Туннель устройства устанавливается в контексте машины, поэтому он может нести трафик, необходимый для аутентификации пользователя или для того, чтобы агенты управления отчитались до входа. Туннель пользователя устанавливается в контексте пользователя, после входа, с учётными данными пользователя и политикой, применяемой к этой учётной записи.

Эта разница во времени и есть весь замысел. Всё остальное следует из неё, включая то, какие методы аутентификации доступны и какие ресурсы имеют смысл.

Если требуется бизнес-приложение, которым пользуется вошедший человек, на это отвечает туннель пользователя. Если требуется контроллер домена, центр сертификации или служба управления, доступная с экрана входа, достаточно ранним будет только туннель устройства.

Адресная книга — не различие

Сохранение собственного профиля в адресной книге всех пользователей не создаёт туннель устройства. Профиль становится доступен каждому пользователю машины, что является вопросом области хранения, и он по-прежнему подключается в контексте пользователя.

Настоящий туннель устройства настраивается именно так, с требованиями к платформе, протоколу и сертификату, которые Microsoft документирует для него. Эти требования включают редакцию, которая его поддерживает, устройство, присоединённое к домену, IKEv2 и аутентификацию по сертификату машины. Профиль с именем device, скопированный из туннеля пользователя и переименованный, не удовлетворяет ни одному из них.

Документация Microsoft по туннелю устройства является ориентиром для формы профиля, и её стоит прочитать, прежде чем предполагать, что рабочий профиль пользователя можно использовать повторно.

Держите каждый путь узким

Туннель устройства должен достигать только того, что нужно машине до входа: каталога, центра сертификации, конечной точки управления и записей DNS, которые их разрешают. Его маршруты и правила брандмауэра должны отражать этот короткий список, а не весь корпоративный диапазон.

Туннель пользователя несёт доступ человека и может ограничиваться по группе, приложению или назначению в зависимости от требований развёртывания. Смешивание двух областей — это то, как туннель, работающий до входа, получает доступ к файловым ресурсам, которого не должно быть ни у одной учётной записи машины.

Оба туннеля можно развернуть вместе, и в большинстве схем Always On так и делается. Туннель устройства поднимается первым и остаётся узким. Туннель пользователя поднимается при входе и несёт рабочий трафик. Если вы разворачиваете только один, решите, с какой неисправностью вы можете жить. Экран входа без сети и туннель пользователя, несущий трафик управления, плохи оба, но обычно только один из них приемлем в вашей среде.

Проверяйте этап, а не браузер

Успешный запрос браузера после входа доказывает работу туннеля пользователя и ничего не говорит о туннеле устройства. Проверяйте этапы отдельно: холодный запуск до экрана входа, сам вход, подключение пользователя и восстановление после сна или смены сети.

На экране входа проверяется, может ли машина достичь конечной точки управления без вошедшего пользователя. Это единственный момент, когда туннель устройства существует сам по себе, и это тот этап, который люди пропускают, потому что для его проверки нужна перезагрузка.

После входа проверьте туннель пользователя отдельно, включая случай, когда туннель устройства поднят, а туннель пользователя не работает. Два туннеля с двумя состояниями дают четыре комбинации, и только одна из них выглядит здоровой.

Когда что-то не работает, сначала назовите туннель

Обновление сертификата машины и восстановление учётной записи пользователя — разные задачи с разными ответственными. Туннель устройства, который отказывает после истечения сертификата, не починится сбросом учётных данных пользователя, а туннель пользователя, который отказывает после смены пароля, не починится перевыпуском сертификата машины.

Запишите, какой туннель был активен, какую учётную запись он использовал и на каком этапе произошёл отказ, затем сравните это с документированными требованиями для используемой редакции и среды управления. Копирование старого универсального мастера VPN — это то, как развёртывания приходят к туннелю устройства, который работает только для администраторов.

Порядок работы: назовите момент, когда трафик должен пойти, выберите туннель, существующий в этот момент, сузьте его маршруты, проверьте каждый этап жизненного цикла отдельно и держите процедуры восстановления двух учётных записей раздельно.