Always On VPN nuk është akses në LAN: listë kontrolli për burimet

Always On je cikël i jetës së një lidhjeje: profili lidhet në ose para hyrjes dhe rilidhet pa shtypur përdoruesi asgjë. Kjo nuk do të thotë se lejohen çdo destinacion privat, protokoll dhe përdorues. Pyetja praktike është cilat burime sjell vërtet profili i vendosur, dhe përgjigja kërkon një kontroll për çdo burim, jo një vështrim te shenja Connected.

Hapi 1: Shkruajeni burimin përpara se ta provoni

Filloni me një shënim të shkurtër për çdo aplikacion, marrë nga mjedisi real: emri, prefiksi i destinacionit, shërbimi dhe porta, roli i tunelit, grupi i identitetit dhe rruga e zgjidhësit.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Shënimi imponon katër pyetje të ndara. Rruga vendos ku shkon adresa; politika DNS vendos si e mëson klienti adresën; filtri i trafikut vendos nëse ai trafik mund të përdorë lidhjen; muri i zjarrit dhe lejet e aplikacionit vendosin nëse kërkesa pranohet. Asnjëra prej të katërtave nuk rrjedh nga një tunel i lidhur.

Hapi 2: Përcaktoni cili tunel duhet ta mbajë

Windows Always On VPN ka tunel pajisjeje dhe tunel përdoruesi, të konfiguruar si profile të ndara me certifikata dhe shtrirje të ndara. Tuneli i pajisjes zakonisht mban vetëm infrastrukturën e nevojshme përpara hyrjes, si menaxhimi dhe shërbimet e domenit; aksesi i gjerë i punonjësve në aplikacione i takon tunelit të përdoruesit.

Filtrat e trafikut janë funksion i tunelit të pajisjes, prandaj shembulli i Microsoft i përdor ata për trafikun e menaxhimit. Kopjimi i atij shembulli në një profil të përgjithshëm burimesh jep një tunel që lidhet por mbart grupin e gabuar. Konfirmoni lidhjen aktive me Get-VpnConnection dhe testoni nën atë lidhje.

Hapi 3: Verifikoni rrugën për adresën reale

Zgjidhni emrin një herë dhe më pas kontrolloni rrugën: Find-NetRoute -RemoteIPAddress 10.20.5.10 raporton ndërfaqen e zgjedhur, kërcimin tjetër dhe adresën e burimit. Nëse ndërfaqja është përshtatësi fizik, prefiksi mungon në grupin e rrugëve të tunelit ose klienti e përjashtoi me tunel të ndarë. Krahasoni me përkufizimin e profilit në vend që të shtoni një rrugë lokale.

Një route add lokale mund ta bëjë testin të kalojë dhe të zhduket në rifreskimin tjetër të politikës, prandaj ndryshimi i takon profilit të menaxhuar. Kontrolloni prefiksin në profilin e përdoruesit dhe të pajisjes, dhe kontrolloni cilësimin e tunelit të ndarë: tuneli i plotë nuk ka nevojë për rrugë për çdo prefiks, ai i ndarë ka nevojë për një për çdo prefiks privat.

Hapi 4: Testoni veçmas zgjidhjen e emrave privatë

Emrat privatë kanë rrugën e tyre të politikës. Profili mund të dorëzojë rregulla NRPT dhe një listë kërkimi prapashtesash DNS, të vlefshme sa kohë tuneli është lart. Lexoni me Get-DnsClientNrptPolicy çfarë mori vërtet klienti, pastaj testoni një emër dhe një adresë në të njëjtën sesion. Nëse emrat dështojnë ndërsa adresat punojnë, është zgjidhësi; nëse dështojnë të dyja, është rruga.

Një emër mund të zgjidhet edhe në një adresë jashtë rrugëve të tunelit, çka përzien suksesin me skadimin. Krahasoni adresën e kthyer me prefiksin në shënimin tuaj; nëse ndryshojnë, zona private përgjigjet me adresë publike ose alternative dhe rruga që përputhej nuk është ajo e projektuar.

Hapi 5: Kontrolloni filtrat, identitetin dhe portën e vetë aplikacionit

Filtrat e trafikut kufizojnë cilat protokolle dhe porta mund të përdorin tunelin e pajisjes, dhe një grup i ngushtë mund të bllokojë një burim që rruga do të mbante. Profili ia cakton lidhjen një grupi, por burimi ka autorizimin e vet: një përdorues që mund të lidhet nuk pranohet automatikisht nga serveri i skedarëve.

Ndryshoni profilin e menaxhuar përmes pronarit të tij, qoftë Intune, një vendosje ProfileXML ose një skript operacionesh, dhe më pas ritestoni pas një rilidhjeje normale dhe pas një rindezjeje: dështimi i zakonshëm është një rrugë lokale e vjetëruar ose një profil i aplikuar vetëm një herë. Mbani versionin e profilit pranë rezultatit të testit.