Тунел уређаја или тунел корисника у Windows Always On VPN?

Преносни рачунар који са екрана за пријаву мора да стигне до сервера за управљање и преносни рачунар који после провере идентитета корисника мора да стигне до дељених фасцикли су два различита проблема. Windows их решава са два различита тунела, а разлика није у томе који се појављује на листи профила. Тунел уређаја ради као рачунар, пре него што се било ко пријави. Тунел корисника ради као особа, пошто платформа добије идентитет са којим може да ради. Избор између њих почиње тренутком када саобраћај мора да тече, а не ресурсима до којих мора да стигне.

Два идентитета, два тренутка

Тунел уређаја се успоставља у контексту рачунара, зато може да носи саобраћај потребан за проверу идентитета корисника или да омогући агентима за управљање да се пријаве пре пријаве корисника. Тунел корисника се успоставља у контексту корисника, после пријаве, са корисничким акредитивима и политиком која се примењује на тај налог.

Та временска разлика је цео дизајн. Све остало из ње произлази, укључујући то које су методе провере идентитета доступне и који ресурси имају смисла.

Ако је захтев пословна апликација коју користи пријављена особа, на њега одговара тунел корисника. Ако је захтев контролер домена, тело за издавање сертификата или услуга управљања доступна са екрана за пријаву, довољно је рано само тунел уређаја.

Именик није разлика

Чување изворног профила у именику свих корисника не ствара тунел уређаја. Профил постаје доступан сваком кориснику на рачунару, што је питање обима складиштења, и он се и даље повезује у контексту корисника.

Прави тунел уређаја се конфигурише управо тако, са захтевима за платформу, протокол и сертификат које Microsoft документује за њега. Ти захтеви укључују издање које га подржава, рачунар придружен домену, IKEv2 и проверу идентитета сертификатом рачунара. Профил назван device, копиран из тунела корисника и преименован, не испуњава ништа од тога.

Microsoft документација о тунелу уређаја је референца за облик профила и вреди је прочитати пре него што претпоставите да се радни кориснички профил може поново употребити.

Држите сваку путању уску

Тунел уређаја треба да достигне само оно што је рачунару потребно пре пријаве: директоријум, тело за издавање сертификата, завршну тачку управљања и DNS записе који их разрешавају. Његове руте и правила заштитног зида треба да одражавају тај кратак списак, а не цео корпоративни опсег.

Тунел корисника носи приступ особе и може се ограничити по групи, апликацији или одредишту како захтева распоређивање. Мешање два обима је начин на који тунел пре пријаве добија приступ дељеним фасциклама који ниједан налог рачунара не би требало да има.

Оба тунела могу да се распореде заједно и у већини Always On дизајна то се и чини. Тунел уређаја се подиже први и остаје узак. Тунел корисника се подиже при пријави и носи радни саобраћај. Ако распоредите само један, одлучите са којим кваром можете да живите. Екран за пријаву без мреже и тунел корисника који носи саобраћај управљања су обоје лоши, али обично је само један од њих прихватљив у вашем окружењу.

Тестирајте фазу, не прегледач

Успешан захтев прегледача после пријаве доказује тунел корисника и ништа не говори о тунелу уређаја. Тестирајте фазе одвојено: хладно покретање до екрана за пријаву, сама пријава, веза корисника и опоравак после спавања или промене мреже.

На екрану за пријаву, провера је да ли рачунар може да достигне завршну тачку управљања без пријављеног корисника. То је једини тренутак када тунел уређаја постоји сам, и то је фаза коју људи прескачу јер њено тестирање захтева поновно покретање.

После пријаве одвојено проверите тунел корисника, укључујући случај када је тунел уређаја активан али тунел корисника није успео. Два тунела са два стања дају четири комбинације и само једна од њих изгледа здраво.

Када не успе, прво именујте тунел

Обнова сертификата рачунара и опоравак корисничког налога су различити задаци са различитим власницима. Тунел уређаја који не успе после истека сертификата неће се поправити ресетовањем корисничких акредитива, а тунел корисника који не успе после промене лозинке неће се поправити поновним издавањем сертификата рачунара.

Забележите који је тунел био активан, који је идентитет користио и која фаза није успела, затим то упоредите са документованим захтевима за издање и окружење управљања које се користе. Копирање старог општег VPN чаробњака је начин на који распоређивања завршавају са тунелом уређаја који ради само за администраторе.

Редослед рада: именујте тренутак када саобраћај мора да тече, изаберите тунел који у том тренутку постоји, сузите његове руте, одвојено тестирајте сваку фазу животног циклуса и држите поступке опоравка два идентитета одвојено.