Tunel naprave ali tunel uporabnika v Windows Always On VPN?

Prenosnik, ki mora s prijavnega zaslona doseči strežnik za upravljanje, in prenosnik, ki mora po preverjanju uporabnika doseči datotečne deleže, sta dva različna problema. Windows ju rešuje z dvema različnima tuneloma, razlika pa ni v tem, kateri se pojavi na seznamu profilov. Tunel naprave deluje kot računalnik, preden se kdo prijavi. Tunel uporabnika deluje kot oseba, potem ko ima platforma identiteto, s katero lahko dela. Izbira med njima se začne s trenutkom, ko mora promet steči, ne s sredstvi, ki jih mora doseči.

Dve identiteti, dva trenutka

Tunel naprave se vzpostavi v kontekstu računalnika, zato lahko prenaša promet, potreben za preverjanje uporabnika ali za to, da se upravljalni agenti javijo pred prijavo. Tunel uporabnika se vzpostavi v kontekstu uporabnika, po prijavi, s uporabnikovimi poverilnicami in pravilnikom, ki velja za ta račun.

Ta časovna razlika je celotna zasnova. Vse ostalo izhaja iz nje, vključno s tem, katere metode preverjanja so na voljo in katera sredstva imajo smisel.

Če je zahteva poslovna aplikacija, ki jo uporablja prijavljena oseba, nanjo odgovori tunel uporabnika. Če je zahteva krmilnik domene, organ za izdajo potrdil ali storitev upravljanja, dosegljiva s prijavnega zaslona, je dovolj zgodaj samo tunel naprave.

Imenik ni razlika

Shranjevanje izvornega profila v imenik vseh uporabnikov ne ustvari tunela naprave. Profil postane na voljo vsakemu uporabniku na računalniku, kar je vprašanje obsega shranjevanja, in se še vedno poveže v kontekstu uporabnika.

Pravi tunel naprave se konfigurira prav kot tak, z zahtevami glede platforme, protokola in potrdila, ki jih Microsoft dokumentira zanj. Te zahteve vključujejo izdajo, ki ga podpira, računalnik, pridružen domeni, IKEv2 in preverjanje s potrdilom računalnika. Profil z imenom device, kopiran iz tunela uporabnika in preimenovan, ne izpolnjuje ničesar od tega.

Microsoftova dokumentacija o tunelu naprave je referenca za obliko profila in vredno jo je prebrati, preden domnevate, da je delujoči uporabniški profil mogoče ponovno uporabiti.

Vsako pot ohranite ozko

Tunel naprave naj doseže le tisto, kar računalnik potrebuje pred prijavo: imenik, organ za izdajo potrdil, končno točko upravljanja in zapise DNS, ki jih razrešujejo. Njegove poti in pravila požarnega zidu naj odražajo ta kratek seznam, ne celotnega podjetniškega obsega.

Tunel uporabnika prenaša dostop osebe in ga je mogoče omejiti po skupini, aplikaciji ali cilju, kot zahteva uvajanje. Mešanje obeh obsegov je način, kako tunel pred prijavo dobi dostop do datotečnih deležev, ki ga ne bi smel imeti noben račun računalnika.

Oba tunela je mogoče uvesti skupaj in v večini zasnov Always On se to tudi zgodi. Tunel naprave se dvigne prvi in ostane ozek. Tunel uporabnika se dvigne ob prijavi in prenaša delovni promet. Če uvedete samo enega, odločite se, s katero okvaro lahko živite. Prijavni zaslon brez omrežja in tunel uporabnika, ki prenaša promet upravljanja, sta oba slaba, a običajno je v vašem okolju sprejemljiv le eden od njiju.

Preizkusite fazo, ne brskalnika

Uspešna zahteva brskalnika po prijavi dokazuje tunel uporabnika in ne pove ničesar o tunelu naprave. Faze preizkusite ločeno: hladen zagon do prijavnega zaslona, sama prijava, povezava uporabnika in obnovitev po mirovanju ali spremembi omrežja.

Na prijavnem zaslonu je preverjanje, ali lahko računalnik doseže končno točko upravljanja brez prijavljenega uporabnika. To je edini trenutek, ko tunel naprave obstaja sam, in to je faza, ki jo ljudje preskočijo, ker njeno preizkušanje zahteva ponovni zagon.

Po prijavi ločeno preverite tunel uporabnika, vključno s primerom, ko je tunel naprave aktiven, tunel uporabnika pa ni uspel. Dva tunela z dvema stanjema dajeta štiri kombinacije in le ena od njih je videti zdrava.

Ko ne uspe, najprej poimenujte tunel

Obnova potrdila računalnika in obnovitev uporabniškega računa sta različni nalogi z različnimi lastniki. Tunel naprave, ki ne uspe po poteku potrdila, se ne popravi z ponastavitvijo uporabnikovih poverilnic, tunel uporabnika, ki ne uspe po spremembi gesla, pa se ne popravi s ponovno izdajo potrdila računalnika.

Zabeležite, kateri tunel je bil aktiven, katero identiteto je uporabil in katera faza ni uspela, nato to primerjajte z dokumentiranimi zahtevami za uporabljeno izdajo in okolje upravljanja. Kopiranje starega splošnega čarovnika za VPN je način, kako se uvajanja končajo s tunelom naprave, ki deluje le za skrbnike.

Vrstni red dela: poimenujte trenutek, ko mora promet steči, izberite tunel, ki v tistem trenutku obstaja, zožite njegove poti, ločeno preizkusite vsako fazo življenjskega cikla in ohranite postopke obnovitve obeh identitet ločene.