Tunel pajisjeje apo tunel përdoruesi në Windows Always On VPN?

Një laptop që duhet të arrijë një server administrimi nga ekrani i hyrjes dhe një laptop që duhet të arrijë ndarje skedarësh pas vërtetimit të përdoruesit janë dy probleme të ndryshme. Windows i zgjidh me dy tunele të ndryshme, dhe ndryshimi nuk është cili prej tyre shfaqet në listën e profileve. Tuneli i pajisjes punon si makina, përpara se dikush të hyjë. Tuneli i përdoruesit punon si personi, pasi platforma ka një identitet me të cilin të punojë. Zgjedhja mes tyre fillon me momentin kur trafiku duhet të rrjedhë, jo me burimet që duhet të arrijë.

Dy identitete, dy momente

Tuneli i pajisjes vendoset në kontekstin e makinës, prandaj mund të mbajë trafikun e nevojshëm për vërtetimin e një përdoruesi ose që agjentët e administrimit të raportojnë përpara hyrjes. Tuneli i përdoruesit vendoset në kontekstin e përdoruesit, pas hyrjes, me kredencialet e përdoruesit dhe politikën që zbatohet për atë llogari.

Ky ndryshim kohor është i gjithë dizajni. Çdo gjë tjetër rrjedh prej tij, përfshirë cilat metoda vërtetimi janë në dispozicion dhe cilat burime kanë kuptim.

Nëse kërkesa është një aplikacion biznesi që përdoret nga një person i hyrur, tuneli i përdoruesit i përgjigjet. Nëse kërkesa është një kontrollues domeni, një autoritet certifikatash ose një shërbim administrimi i arritshëm nga ekrani i hyrjes, vetëm tuneli i pajisjes është mjaft i hershëm.

Libri i telefonit nuk është dallimi

Ruajtja e një profili vendas në librin e telefonit të të gjithë përdoruesve nuk krijon tunel pajisjeje. Profili bëhet i disponueshëm për çdo përdorues në makinë, çka është çështje e shtrirjes së ruajtjes, dhe vazhdon të lidhet në kontekstin e përdoruesit.

Një tunel i vërtetë pajisjeje konfigurohet si i tillë, me kërkesat e platformës, protokollit dhe certifikatës që Microsoft dokumenton për të. Këto kërkesa përfshijnë një botim që e mbështet, një pajisje të bashkuar me domenin, IKEv2 dhe vërtetim me certifikatë makine. Një profil i quajtur device, i kopjuar nga një tunel përdoruesi dhe i riemërtuar, nuk plotëson asgjë nga këto.

Dokumentacioni i Microsoft për tunelin e pajisjes është referenca për formën e profilit, dhe ia vlen të lexohet përpara se të supozohet se një profil përdoruesi që funksionon mund të ripërdoret.

Mbajini çdo rrugë të ngushtë

Tuneli i pajisjes duhet të arrijë vetëm atë që i duhet makinës përpara hyrjes: drejtorinë, autoritetin e certifikatave, pikën fundore të administrimit dhe regjistrimet DNS që i zgjidhin. Rrugët dhe rregullat e tij të firewall-it duhet të pasqyrojnë atë listë të shkurtër dhe jo gamën e plotë korporative.

Tuneli i përdoruesit mbart aksesin e personit dhe mund të kufizohet sipas grupit, aplikacionit ose destinacionit siç kërkon vendosja. Përzierja e dy shtrirjeve është mënyra se si një tunel para hyrjes merr akses në ndarje skedarësh që asnjë llogari makine nuk duhet ta ketë kurrë.

Të dy tunelet mund të vendosen së bashku, dhe në shumicën e dizajneve Always On kështu bëhet. Tuneli i pajisjes ngrihet i pari dhe mbetet i ngushtë. Tuneli i përdoruesit ngrihet në hyrje dhe mbart trafikun e punës. Nëse vendosni vetëm një, vendosni me cilën dështim mund të jetoni. Një ekran hyrjeje pa rrjet dhe një tunel përdoruesi që mbart trafik administrimi janë të dyja të këqija, por zakonisht vetëm njëri prej tyre është i pranueshëm në mjedisin tuaj.

Provoni fazën, jo shfletuesin

Një kërkesë shfletuesi që funksionon pas hyrjes dëshmon tunelin e përdoruesit dhe nuk thotë asgjë për tunelin e pajisjes. Provoni fazat veçmas: nisje e ftohtë deri në ekranin e hyrjes, vetë hyrja, lidhja e përdoruesit dhe rikuperimi pas gjumit ose një ndryshimi rrjeti.

Në ekranin e hyrjes, kontrolli është nëse makina mund të arrijë pikën fundore të administrimit pa asnjë përdorues të hyrur. Ky është i vetmi moment kur tuneli i pajisjes ekziston vetëm, dhe është faza që njerëzit e kapërcejnë sepse provimi i saj kërkon rinisje.

Pas hyrjes, kontrolloni veçmas tunelin e përdoruesit, përfshirë rastin kur tuneli i pajisjes është aktiv por tuneli i përdoruesit ka dështuar. Dy tunele me dy gjendje prodhojnë katër kombinime, dhe vetëm njëri prej tyre duket i shëndetshëm.

Kur dështon, emërtoni së pari tunelin

Rinovimi i certifikatës së makinës dhe rikuperimi i llogarisë së përdoruesit janë detyra të ndryshme me pronarë të ndryshëm. Një tunel pajisjeje që dështon pas skadimit të një certifikate nuk rregullohet duke rivendosur kredencialet e përdoruesit, dhe një tunel përdoruesi që dështon pas një ndryshimi fjalëkalimi nuk rregullohet duke rishpërndarë certifikatën e makinës.

Regjistroni cili tunel ishte aktiv, çfarë identiteti përdorte dhe cila fazë dështoi, më pas krahasoni atë me kërkesat e dokumentuara për botimin dhe mjedisin e administrimit në përdorim. Kopjimi i një magjistari të vjetër gjenerik VPN është mënyra se si vendosjet përfundojnë me një tunel pajisjeje që funksionon vetëm për administratorët.

Rendi i punës: emërtoni momentin kur trafiku duhet të rrjedhë, zgjidhni tunelin që ekziston në atë moment, ngushtoni rrugët e tij, provoni veçmas çdo fazë të ciklit të jetës dhe mbani të ndara procedurat e rikuperimit të dy identiteteve.