Windows Always On VPN’de cihaz tüneli mi kullanıcı tüneli mi?

Oturum açma ekranından bir yönetim sunucusuna ulaşması gereken dizüstü bilgisayar ile kullanıcı kimlik doğrulandıktan sonra dosya paylaşımlarına ulaşması gereken dizüstü bilgisayar iki farklı sorundur. Windows bunları iki farklı tünelle çözer ve fark, hangisinin profil listesinde göründüğü değildir. Cihaz tüneli makine olarak çalışır, kimse oturum açmadan önce. Kullanıcı tüneli kişi olarak çalışır, platformun çalışabileceği bir kimliği olduktan sonra. İkisi arasındaki seçim, trafiğin akması gereken andan başlar, ulaşması gereken kaynaklardan değil.

İki kimlik, iki an

Cihaz tüneli makine bağlamında kurulur, bu yüzden bir kullanıcının kimliğini doğrulamak için gereken trafiği ya da yönetim aracılarının oturum açmadan önce bildirimde bulunmasını taşıyabilir. Kullanıcı tüneli kullanıcı bağlamında, oturum açmadan sonra, kullanıcının kimlik bilgileri ve o hesaba uygulanan ilkeyle kurulur.

Bu zaman farkı bütün tasarımdır. Diğer her şey ondan doğar; hangi kimlik doğrulama yöntemlerinin kullanılabilir olduğu ve hangi kaynakların anlamlı olduğu da buna dahildir.

Gereksinim, oturum açmış bir kişinin kullandığı bir iş uygulamasıysa kullanıcı tüneli yanıt verir. Gereksinim, oturum açma ekranından erişilebilen bir etki alanı denetleyicisi, sertifika yetkilisi veya yönetim hizmetiyse yalnızca cihaz tüneli yeterince erkendir.

Telefon defteri ayrım değildir

Yerel bir profili tüm kullanıcıların telefon defterine kaydetmek cihaz tüneli oluşturmaz. Profil makinedeki her kullanıcı için kullanılabilir hale gelir, bu bir depolama kapsamı sorunudur ve yine de kullanıcı bağlamında bağlanır.

Gerçek bir cihaz tüneli tam olarak öyle yapılandırılır; Microsoft’un bunun için belgelediği platform, protokol ve sertifika gereksinimleriyle. Bu gereksinimler arasında destekleyen bir sürüm, etki alanına katılmış bir cihaz, IKEv2 ve makine sertifikasıyla kimlik doğrulama bulunur. Kullanıcı tünelinden kopyalanıp yeniden adlandırılan device adlı profil bunların hiçbirini karşılamaz.

Microsoft’un cihaz tüneli belgeleri profilin biçimi için başvuru kaynağıdır ve çalışan bir kullanıcı profilinin yeniden kullanılabileceğini varsaymadan önce okunmaya değer.

Her yolu dar tutun

Cihaz tüneli yalnızca makinenin oturum açmadan önce ihtiyaç duyduğu şeylere ulaşmalıdır: dizin, sertifika yetkilisi, yönetim uç noktası ve bunları çözen DNS kayıtları. Yolları ve güvenlik duvarı kuralları tüm kurumsal aralığı değil, bu kısa listeyi yansıtmalıdır.

Kullanıcı tüneli kişinin erişimini taşır ve dağıtımın gerektirdiği şekilde grup, uygulama veya hedefe göre sınırlandırılabilir. İki kapsamı karıştırmak, oturum açma öncesi tünelin hiçbir makine hesabının sahip olmaması gereken dosya paylaşımı erişimine kavuşmasının yoludur.

İki tünel birlikte dağıtılabilir ve çoğu Always On tasarımında öyle yapılır. Cihaz tüneli önce açılır ve dar kalır. Kullanıcı tüneli oturum açmada açılır ve çalışma trafiğini taşır. Yalnızca birini dağıtıyorsanız hangi arızayla yaşayabileceğinize karar verin. Ağsız bir oturum açma ekranı ve yönetim trafiği taşıyan bir kullanıcı tüneli ikisi de kötüdür, ancak genellikle ortamınızda yalnızca biri kabul edilebilir.

Aşamayı test edin, tarayıcıyı değil

Oturum açmadan sonraki başarılı bir tarayıcı isteği kullanıcı tünelini kanıtlar ve cihaz tüneli hakkında hiçbir şey söylemez. Aşamaları ayrı ayrı test edin: soğuk başlangıçtan oturum açma ekranına, oturum açmanın kendisi, kullanıcı bağlantısı ve uyku ya da ağ değişikliğinden sonra toparlanma.

Oturum açma ekranında kontrol, makinenin oturum açmış kullanıcı olmadan yönetim uç noktasına ulaşıp ulaşamadığıdır. Cihaz tünelinin tek başına var olduğu tek an budur ve insanların atladığı aşama da budur çünkü test etmek yeniden başlatma gerektirir.

Oturum açmadan sonra kullanıcı tünelini ayrı olarak denetleyin; cihaz tüneli açıkken kullanıcı tünelinin başarısız olduğu durum dahil. İki durumlu iki tünel dört bileşim üretir ve bunlardan yalnızca biri sağlıklı görünür.

Başarısız olduğunda önce tüneli adlandırın

Makine sertifikasının yenilenmesi ve kullanıcı hesabının kurtarılması farklı sahipleri olan farklı işlerdir. Sertifika süresi dolduktan sonra başarısız olan cihaz tüneli, kullanıcının kimlik bilgileri sıfırlanarak düzeltilmez; parola değişikliğinden sonra başarısız olan kullanıcı tüneli de makine sertifikası yeniden verilerek düzeltilmez.

Hangi tünelin etkin olduğunu, hangi kimliği kullandığını ve hangi aşamanın başarısız olduğunu kaydedin, sonra bunu kullanılan sürüm ve yönetim ortamı için belgelenmiş gereksinimlerle karşılaştırın. Eski bir genel VPN sihirbazını kopyalamak, dağıtımların yalnızca yöneticiler için çalışan bir cihaz tüneliyle sonuçlanmasının yoludur.

İş sırası: trafiğin akması gereken anı adlandırın, o anda var olan tüneli seçin, yollarını daraltın, yaşam döngüsünün her aşamasını ayrı ayrı test edin ve iki kimliğin kurtarma yordamlarını ayrı tutun.