Тунель пристрою чи тунель користувача в Windows Always On VPN?

Ноутбук, якому треба дістатися сервера керування з екрана входу, і ноутбук, якому потрібен доступ до файлових ресурсів після автентифікації користувача, — дві різні задачі. Windows вирішує їх двома різними тунелями, і різниця не в тому, який із них видно у списку профілів. Тунель пристрою працює як машина, до того як хтось увійде в систему. Тунель користувача працює як людина, після того як платформа має обліковий запис, з яким можна працювати. Вибір між ними починається з моменту, коли трафік має піти, а не з ресурсів, яких треба досягти.

Два облікові записи, два моменти

Тунель пристрою встановлюється в контексті машини, тому може нести трафік, потрібний для автентифікації користувача або щоб агенти керування звітували до входу. Тунель користувача встановлюється в контексті користувача, після входу, з обліковими даними користувача та політикою, що застосовується до цього запису.

Ця різниця в часі і є весь задум. Усе інше випливає з неї, зокрема те, які методи автентифікації доступні та які ресурси мають сенс.

Якщо вимога — бізнес-застосунок, яким користується особа з активним сеансом, на це відповідає тунель користувача. Якщо вимога — контролер домену, центр сертифікації або служба керування, доступна з екрана входу, достатньо раннім буде лише тунель пристрою.

Адресна книга не є тією різницею

Збереження власного профілю в адресній книзі всіх користувачів не створює тунель пристрою. Профіль стає доступним кожному користувачеві машини, що є питанням обсягу зберігання, і він усе одно підключається в контексті користувача.

Справжній тунель пристрою налаштовується саме так, з вимогами до платформи, протоколу та сертифіката, які Microsoft документує для нього. Ці вимоги включають редакцію, яка його підтримує, пристрій, приєднаний до домену, IKEv2 та автентифікацію за сертифікатом машини. Профіль з іменем device, скопійований з тунелю користувача та перейменований, не відповідає жодній із них.

Документація Microsoft про тунель пристрою є орієнтиром для форми профілю, і її варто прочитати, перш ніж припускати, що робочий профіль користувача можна використати повторно.

Тримайте кожен шлях вузьким

Тунель пристрою має досягати лише того, що потрібно машині до входу: каталогу, центру сертифікації, кінцевої точки керування та записів DNS, які їх розв’язують. Його маршрути й правила брандмауера мають відображати цей короткий список, а не весь корпоративний діапазон.

Тунель користувача несе доступ людини, і його можна обмежити за групою, застосунком або призначенням, як вимагає розгортання. Змішування двох обсягів — це те, як тунель, що працює до входу, отримує доступ до файлових ресурсів, якого не повинен мати жоден обліковий запис машини.

Обидва тунелі можна розгорнути разом, і в більшості схем Always On так і роблять. Тунель пристрою піднімається першим і залишається вузьким. Тунель користувача піднімається під час входу й несе робочий трафік. Якщо ви розгортаєте лише один, вирішіть, з якою несправністю можете жити. Екран входу без мережі й тунель користувача, що несе трафік керування, обидва погані, але зазвичай лише один із них прийнятний у вашому середовищі.

Перевіряйте етап, а не браузер

Успішний запит браузера після входу доводить тунель користувача й нічого не каже про тунель пристрою. Перевіряйте етапи окремо: холодний запуск до екрана входу, сам вхід, підключення користувача та відновлення після сну або зміни мережі.

На екрані входу перевірка полягає в тому, чи може машина досягти кінцевої точки керування без користувача з активним сеансом. Це єдиний момент, коли тунель пристрою існує сам, і це той етап, який люди пропускають, бо для його перевірки потрібне перезавантаження.

Після входу перевірте тунель користувача окремо, зокрема випадок, коли тунель пристрою активний, а тунель користувача не працює. Два тунелі з двома станами дають чотири комбінації, і лише одна з них виглядає здоровою.

Коли щось не працює, спершу назвіть тунель

Оновлення сертифіката машини та відновлення облікового запису користувача — різні задачі з різними відповідальними. Тунель пристрою, який відмовляє після завершення терміну сертифіката, не виправиться скиданням облікових даних користувача, а тунель користувача, який відмовляє після зміни пароля, не виправиться повторним випуском сертифіката машини.

Запишіть, який тунель був активним, який обліковий запис він використовував і на якому етапі стався збій, потім порівняйте це з документованими вимогами для використовуваної редакції та середовища керування. Копіювання старого загального майстра VPN — це те, як розгортання доходять до тунелю пристрою, що працює лише для адміністраторів.

Порядок роботи: назвіть момент, коли трафік має піти, виберіть тунель, що існує в цей момент, сузьте його маршрути, перевірте кожен етап життєвого циклу окремо й тримайте процедури відновлення двох облікових записів окремо.