Tunel zariadenia alebo tunel používateľa v Windows Always On VPN?

Notebook, ktorý sa z prihlasovacej obrazovky potrebuje dostať na server pre správu, a notebook, ktorý po overení používateľa potrebuje pristupovať k súborovým zdieľaniam, sú dva rôzne problémy. Windows ich rieši dvoma rôznymi tunelmi a rozdiel nie je v tom, ktorý z nich sa objaví v zozname profilov. Tunel zariadenia beží ako počítač, skôr než sa niekto prihlási. Tunel používateľa beží ako osoba, potom čo platforma získa identitu, s ktorou môže pracovať. Voľba medzi nimi začína okamihom, kedy musí prevádzka prúdiť, nie prostriedkami, ku ktorým sa musí dostať.

Dve identity, dva okamihy

Tunel zariadenia sa nadväzuje v kontexte počítača, a preto môže prenášať prevádzku potrebnú na overenie používateľa alebo na to, aby sa agenti správy prihlásili ešte pred prihlásením. Tunel používateľa sa nadväzuje v kontexte používateľa, po prihlásení, s používateľskými povereniami a zásadami, ktoré sa na tento účet vzťahujú.

Tento časový rozdiel je celý návrh. Všetko ostatné z neho vyplýva, vrátane toho, ktoré metódy overovania sú dostupné a ktoré prostriedky majú zmysel.

Ak je požiadavkou podniková aplikácia, ktorú používa prihlásená osoba, odpovedá na ňu tunel používateľa. Ak je požiadavkou radič domény, certifikačná autorita alebo služba správy dostupná z prihlasovacej obrazovky, dostatočne skoro je len tunel zariadenia.

Telefónny zoznam nie je ten rozdiel

Uloženie natívneho profilu do telefónneho zoznamu všetkých používateľov tunel zariadenia nevytvorí. Profil sa sprístupní každému používateľovi na počítači, čo je otázka rozsahu úložiska, a stále sa pripája v kontexte používateľa.

Skutočný tunel zariadenia sa konfiguruje práve ako taký, s požiadavkami na platformu, protokol a certifikát, ktoré preň Microsoft dokumentuje. Tieto požiadavky zahŕňajú vydanie, ktoré ho podporuje, počítač pripojený k doméne, IKEv2 a overovanie certifikátom počítača. Profil s názvom device, skopírovaný z tunela používateľa a premenovaný, nespĺňa nič z toho.

Dokumentácia Microsoftu k tunelu zariadenia je referenciou pre podobu profilu a stojí za prečítanie skôr, než predpokladáte, že funkčný používateľský profil možno znova použiť.

Držte každú cestu úzku

Tunel zariadenia by mal dosiahnuť len to, čo počítač potrebuje pred prihlásením: adresár, certifikačnú autoritu, koncový bod správy a záznamy DNS, ktoré ich prekladajú. Jeho trasy a pravidlá firewallu by mali odrážať tento krátky zoznam, nie celý podnikový rozsah.

Tunel používateľa nesie prístup osoby a možno ho obmedziť skupinou, aplikáciou alebo cieľom podľa požiadaviek nasadenia. Miešanie oboch rozsahov je spôsob, akým tunel pred prihlásením získa prístup k súborovým zdieľaniam, ktorý by nemal mať žiadny účet počítača.

Oba tunely možno nasadiť spolu a vo väčšine návrhov Always On sa to tak robí. Tunel zariadenia naskočí prvý a zostáva úzky. Tunel používateľa naskočí pri prihlásení a nesie pracovnú prevádzku. Ak nasadíte len jeden, rozhodnite, s akou poruchou dokážete žiť. Prihlasovacia obrazovka bez siete a tunel používateľa prenášajúci prevádzku správy sú oboje zlé, ale zvyčajne je vo vašom prostredí prijateľná len jedna z nich.

Testujte fázu, nie prehliadač

Fungujúca požiadavka prehliadača po prihlásení preukazuje tunel používateľa a o tuneli zariadenia nehovorí nič. Testujte fázy samostatne: studený štart k prihlasovacej obrazovke, samotné prihlásenie, pripojenie používateľa a obnovu po spánku alebo zmene siete.

Na prihlasovacej obrazovke je kontrolou to, či sa počítač dostane na koncový bod správy bez prihláseného používateľa. To je jediný okamih, kedy tunel zariadenia existuje sám, a je to fáza, ktorú ľudia preskakujú, pretože jej testovanie vyžaduje reštart.

Po prihlásení skontrolujte tunel používateľa samostatne, vrátane prípadu, keď tunel zariadenia beží, ale tunel používateľa zlyhal. Dva tunely s dvoma stavmi dávajú štyri kombinácie a len jedna z nich vyzerá zdravo.

Keď to zlyhá, najprv pomenujte tunel

Obnova certifikátu počítača a obnova používateľského účtu sú rôzne úlohy s rôznymi vlastníkmi. Tunel zariadenia, ktorý zlyhá po vypršaní platnosti certifikátu, sa nespraví resetovaním poverení používateľa, a tunel používateľa, ktorý zlyhá po zmene hesla, sa nespraví opätovným vydaním certifikátu počítača.

Zaznamenajte, ktorý tunel bol aktívny, akú identitu použil a ktorá fáza zlyhala, a potom to porovnajte s dokumentovanými požiadavkami na používané vydanie a prostredie správy. Kopírovanie starého všeobecného sprievodcu VPN je spôsob, akým nasadenia skončia s tunelom zariadenia, ktorý funguje len pre správcov.

Poradie práce: pomenujte okamih, kedy musí prevádzka prúdiť, vyberte tunel, ktorý v tom okamihu existuje, zúžte jeho trasy, otestujte každú fázu životného cyklu samostatne a držte postupy obnovy oboch identít oddelené.