ทันเนลอุปกรณ์หรือทันเนลผู้ใช้ใน Windows Always On VPN?

แล็ปท็อปที่ต้องเข้าถึงเซิร์ฟเวอร์การจัดการจากหน้าจอลงชื่อเข้าใช้กับแล็ปท็อปที่ต้องเข้าถึงไฟล์ที่แชร์หลังผู้ใช้ได้รับการพิสูจน์ตัวตนเป็นปัญหาที่แตกต่างกันสองเรื่อง Windows แก้ปัญหาทั้งสองด้วยทันเนลที่แตกต่างกันสองแบบ และความแตกต่างไม่ใช่ว่าแบบใดปรากฏในรายการโปรไฟล์ ทันเนลอุปกรณ์ทำงานในฐานะเครื่อง ก่อนที่ใครจะลงชื่อเข้าใช้ ทันเนลผู้ใช้ทำงานในฐานะบุคคล หลังจากแพลตฟอร์มมีตัวตนให้ทำงานด้วย การเลือกระหว่างสองแบบเริ่มจากเวลาที่ทราฟฟิกต้องไหล ไม่ใช่จากทรัพยากรที่ต้องเข้าถึง

สองตัวตน สองเวลา

ทันเนลอุปกรณ์ถูกสร้างในบริบทของเครื่อง จึงสามารถรับทราฟฟิกที่จำเป็นในการพิสูจน์ตัวตนผู้ใช้ หรือให้เอเจนต์การจัดการรายงานก่อนการลงชื่อเข้าใช้ ทันเนลผู้ใช้ถูกสร้างในบริบทของผู้ใช้ หลังการลงชื่อเข้าใช้ ด้วยข้อมูลประจำตัวของผู้ใช้และนโยบายที่ใช้กับบัญชีนั้น

ความต่างของเวลานั้นคือการออกแบบทั้งหมด ทุกสิ่งอื่นตามมาจากมัน รวมถึงวิธีการพิสูจน์ตัวตนที่ใช้ได้และทรัพยากรที่สมเหตุสมผล

หากความต้องการคือแอปพลิเคชันธุรกิจที่ผู้ใช้ซึ่งลงชื่อเข้าใช้แล้วใช้งาน ทันเนลผู้ใช้คือคำตอบ หากความต้องการคือโดเมนคอนโทรลเลอร์ หน่วยออกใบรับรอง หรือบริการการจัดการที่เข้าถึงได้จากหน้าจอลงชื่อเข้าใช้ มีเพียงทันเนลอุปกรณ์ที่เร็วพอ

สมุดโทรศัพท์ไม่ใช่ความแตกต่าง

การบันทึกโปรไฟล์ดั้งเดิมลงในสมุดโทรศัพท์ของผู้ใช้ทุกคนไม่ได้สร้างทันเนลอุปกรณ์ โปรไฟล์จะพร้อมใช้สำหรับผู้ใช้ทุกคนบนเครื่อง ซึ่งเป็นเรื่องของขอบเขตการจัดเก็บ และยังเชื่อมต่อในบริบทของผู้ใช้

ทันเนลอุปกรณ์จริงถูกกำหนดค่าเป็นเช่นนั้น ด้วยข้อกำหนดด้านแพลตฟอร์ม โปรโตคอล และใบรับรองที่ Microsoft จัดทำเอกสารไว้ ข้อกำหนดเหล่านั้นรวมถึง รุ่นที่รองรับ เครื่องที่เข้าร่วมโดเมน IKEv2 และการพิสูจน์ตัวตนด้วยใบรับรองเครื่อง โปรไฟล์ชื่อ device ที่คัดลอกมาจากทันเนลผู้ใช้แล้วเปลี่ยนชื่อไม่ตอบสนองข้อใดเลย

เอกสารของ Microsoft เกี่ยวกับทันเนลอุปกรณ์ เป็นเอกสารอ้างอิงสำหรับรูปร่างของโปรไฟล์ และควรอ่านก่อนสันนิษฐานว่าโปรไฟล์ผู้ใช้ที่ใช้งานได้สามารถนำกลับมาใช้ซ้ำได้

รักษาแต่ละเส้นทางให้แคบ

ทันเนลอุปกรณ์ควรเข้าถึงเฉพาะสิ่งที่เครื่องต้องการก่อนการลงชื่อเข้าใช้ ได้แก่ ไดเรกทอรี หน่วยออกใบรับรอง จุดปลายทางการจัดการ และระเบียน DNS ที่แปลงชื่อเหล่านั้น เส้นทางและกฎไฟร์วอลล์ควรสะท้อนรายการสั้นนั้น ไม่ใช่ช่วงทั้งองค์กร

ทันเนลผู้ใช้รับการเข้าถึงของบุคคลและสามารถจำกัดตามกลุ่ม แอปพลิเคชัน หรือปลายทางตามที่การติดตั้งต้องการ การผสมสองขอบเขตเข้าด้วยกันคือวิธีที่ทันเนลก่อนการลงชื่อเข้าใช้ได้สิทธิ์เข้าถึงไฟล์ที่แชร์ซึ่งไม่มีบัญชีเครื่องใดควรมี

ทันเนลทั้งสองสามารถติดตั้งร่วมกันได้ และในการออกแบบ Always On ส่วนใหญ่ก็ทำเช่นนั้น ทันเนลอุปกรณ์ขึ้นก่อนและคงความแคบไว้ ทันเนลผู้ใช้ขึ้นเมื่อลงชื่อเข้าใช้และรับทราฟฟิกการทำงาน หากติดตั้งเพียงแบบเดียว ให้ตัดสินใจว่าจะอยู่กับความล้มเหลวแบบใดได้ หน้าจอลงชื่อเข้าใช้ที่ไม่มีเครือข่ายกับทันเนลผู้ใช้ที่รับทราฟฟิกการจัดการล้วนไม่ดี แต่โดยปกติมีเพียงแบบเดียวที่ยอมรับได้ในสภาพแวดล้อมของคุณ

ทดสอบขั้น ไม่ใช่เบราว์เซอร์

คำขอเบราว์เซอร์ที่สำเร็จหลังการลงชื่อเข้าใช้พิสูจน์ทันเนลผู้ใช้และไม่ได้บอกอะไรเกี่ยวกับทันเนลอุปกรณ์ ทดสอบแต่ละขั้นแยกกัน: การเริ่มเย็นจนถึงหน้าจอลงชื่อเข้าใช้ การลงชื่อเข้าใช้เอง การเชื่อมต่อของผู้ใช้ และการกู้คืนหลังการพักเครื่องหรือการเปลี่ยนเครือข่าย

ที่หน้าจอลงชื่อเข้าใช้ การตรวจคือเครื่องสามารถเข้าถึงจุดปลายทางการจัดการได้โดยไม่มีผู้ใช้ลงชื่อเข้าใช้หรือไม่ นั่นคือช่วงเวลาเดียวที่ทันเนลอุปกรณ์อยู่ลำพัง และเป็นขั้นที่ผู้คนข้ามไปเพราะการทดสอบต้องรีบูต

หลังการลงชื่อเข้าใช้ ให้ตรวจทันเนลผู้ใช้แยกกัน รวมถึงกรณีที่ทันเนลอุปกรณ์ขึ้นอยู่แต่ทันเนลผู้ใช้ล้มเหลว ทันเนลสองแบบที่มีสองสถานะให้สี่ชุดค่า และมีเพียงชุดเดียวที่ดูปกติ

เมื่อล้มเหลว ให้ระบุชื่อทันเนลก่อน

การต่ออายุใบรับรองเครื่องและการกู้คืนบัญชีผู้ใช้เป็นงานต่างกันและมีเจ้าของต่างกัน ทันเนลอุปกรณ์ที่ล้มเหลวหลังใบรับรองหมดอายุจะไม่ได้รับการแก้ไขด้วยการรีเซ็ตข้อมูลประจำตัวของผู้ใช้ และทันเนลผู้ใช้ที่ล้มเหลวหลังการเปลี่ยนรหัสผ่านจะไม่ได้รับการแก้ไขด้วยการออกใบรับรองเครื่องใหม่

บันทึกว่าทันเนลใดทำงานอยู่ ใช้ตัวตนใด และขั้นใดล้มเหลว แล้วเปรียบเทียบกับข้อกำหนดที่เป็นเอกสารสำหรับรุ่นและสภาพแวดล้อมการจัดการที่ใช้อยู่ การคัดลอกตัวช่วยสร้าง VPN ทั่วไปแบบเก่าคือวิธีที่การติดตั้งลงเอยด้วยทันเนลอุปกรณ์ที่ทำงานเฉพาะผู้ดูแลระบบ

ลำดับงาน: ระบุเวลาที่ทราฟฟิกต้องไหล เลือกทันเนลที่มีอยู่ในเวลานั้น ทำให้เส้นทางของมันแคบลง ทดสอบแต่ละขั้นของวงจรชีวิตแยกกัน และแยกขั้นตอนการกู้คืนของสองตัวตนออกจากกัน