Tunnel ng device o tunnel ng user sa Windows Always On VPN?

Ang laptop na kailangang maabot ang isang server ng pamamahala mula sa screen ng pag-sign in at ang laptop na kailangang maabot ang mga file share pagkatapos ma-authenticate ang user ay dalawang magkaibang problema. Nilulutas ito ng Windows sa dalawang magkaibang tunnel, at ang pagkakaiba ay hindi kung alin ang lumalabas sa listahan ng profile. Ang tunnel ng device ay tumatakbo bilang makina, bago mag-sign in ang sinuman. Ang tunnel ng user ay tumatakbo bilang tao, pagkatapos magkaroon ng identity ang platform na magagamit. Ang pagpili sa pagitan ng dalawa ay nagsisimula sa sandaling dapat dumaloy ang trapiko, hindi sa mga resource na dapat abutin.

Dalawang identity, dalawang sandali

Naitatatag ang tunnel ng device sa konteksto ng makina, kaya kaya nitong dalhin ang trapikong kailangan para ma-authenticate ang user o para makapag-report ang mga agent ng pamamahala bago ang pag-sign in. Naitatatag ang tunnel ng user sa konteksto ng user, pagkatapos ng pag-sign in, kasama ang mga kredensyal ng user at ang patakarang naaangkop sa account na iyon.

Ang pagkakaibang iyon sa oras ang buong disenyo. Lahat ng iba ay sumusunod dito, kabilang ang kung aling mga paraan ng authentication ang magagamit at kung aling mga resource ang may saysay.

Kung ang pangangailangan ay isang business application na ginagamit ng naka-sign in na tao, ang tunnel ng user ang sumasagot. Kung ang pangangailangan ay isang domain controller, certificate authority o serbisyo ng pamamahala na maabot mula sa screen ng pag-sign in, ang tunnel ng device lamang ang sapat na maaga.

Ang phone book ay hindi ang pagkakaiba

Ang pag-save ng native na profile sa phone book ng lahat ng user ay hindi gumagawa ng tunnel ng device. Nagiging available ang profile sa bawat user sa makina, na isang usapin ng saklaw ng storage, at nagkokonekta pa rin ito sa konteksto ng user.

Ang tunay na tunnel ng device ay naka-configure bilang ganoon, kasama ang mga pangangailangan sa platform, protocol at certificate na idinodokumento ng Microsoft para dito. Kasama sa mga ito ang isang edition na sumusuporta dito, isang device na sumali sa domain, IKEv2 at authentication na may certificate ng makina. Ang profile na tinatawag na device, na kinopya mula sa tunnel ng user at pinangalanang muli, ay walang natutugunan sa mga ito.

Ang dokumentasyon ng Microsoft tungkol sa tunnel ng device ang sanggunian para sa hugis ng profile, at sulit itong basahin bago ipagpalagay na magagamit muli ang isang gumaganang profile ng user.

Panatilihing makitid ang bawat landas

Dapat maabot ng tunnel ng device lamang ang kailangan ng makina bago ang pag-sign in: ang directory, ang certificate authority, ang endpoint ng pamamahala at ang mga rekord ng DNS na nagre-resolve sa kanila. Dapat ipakita ng mga ruta at patakaran ng firewall nito ang maikling listahang iyon at hindi ang buong saklaw ng korporasyon.

Dinadala ng tunnel ng user ang access ng tao at maaaring limitahan ayon sa grupo, application o destinasyon ayon sa kailangan ng deployment. Ang paghahalo ng dalawang saklaw ang paraan kung paano nakakakuha ang tunnel bago ang pag-sign in ng access sa file share na wala dapat kahit anong account ng makina.

Maaaring i-deploy nang magkasama ang dalawang tunnel, at sa karamihan ng disenyo ng Always On ganoon ang ginagawa. Nauuna ang tunnel ng device at nananatiling makitid. Lumalabas ang tunnel ng user sa pag-sign in at dinadala ang trapiko ng trabaho. Kung isa lang ang ide-deploy, magpasya kung anong pagkabigo ang kaya mong tiisin. Ang screen ng pag-sign in na walang network at ang tunnel ng user na may trapiko ng pamamahala ay parehong masama, ngunit karaniwang isa lang sa dalawa ang katanggap-tanggap sa iyong kapaligiran.

Subukan ang yugto, hindi ang browser

Ang matagumpay na kahilingan ng browser pagkatapos ng pag-sign in ay nagpapatunay sa tunnel ng user at walang sinasabi tungkol sa tunnel ng device. Subukan ang mga yugto nang hiwalay: cold start hanggang sa screen ng pag-sign in, ang pag-sign in mismo, ang koneksyon ng user, at ang pagbawi pagkatapos ng pagtulog o pagbabago ng network.

Sa screen ng pag-sign in, ang pagsusuri ay kung maaabot ng makina ang endpoint ng pamamahala nang walang naka-sign in na user. Iyon ang tanging sandaling umiiral nang mag-isa ang tunnel ng device, at iyon ang yugtong nilalaktawan ng mga tao dahil kailangan ng reboot para subukan ito.

Pagkatapos ng pag-sign in, hiwalay na suriin ang tunnel ng user, kabilang ang kaso kung saan nakaupo ang tunnel ng device ngunit nabigo ang tunnel ng user. Dalawang tunnel na may dalawang estado ang gumagawa ng apat na kombinasyon, at isa lang sa mga ito ang mukhang malusog.

Kapag nabigo, pangalanan muna ang tunnel

Ang pag-renew ng certificate ng makina at ang pagbawi ng account ng user ay magkaibang gawain na may magkaibang may-ari. Ang tunnel ng device na nabigo pagkatapos mag-expire ang certificate ay hindi maaayos sa pamamagitan ng pag-reset ng kredensyal ng user, at ang tunnel ng user na nabigo pagkatapos ng pagbabago ng password ay hindi maaayos sa pamamagitan ng muling pag-isyu ng certificate ng makina.

Itala kung aling tunnel ang aktibo, anong identity ang ginamit at aling yugto ang nabigo, pagkatapos ay ihambing iyon sa mga dokumentadong pangangailangan para sa edition at kapaligiran ng pamamahala na ginagamit. Ang pagkopya ng lumang generic na VPN wizard ang paraan kung paano nagtatapos ang mga deployment sa tunnel ng device na gumagana lamang para sa mga administrator.

Pagkakasunod-sunod ng trabaho: pangalanan ang sandaling dapat dumaloy ang trapiko, piliin ang tunnel na umiiral sa sandaling iyon, paikliin ang mga ruta nito, subukan nang hiwalay ang bawat yugto ng lifecycle, at panatilihing hiwalay ang mga pamamaraan ng pagbawi ng dalawang identity.