Always On VPN - bu LAN ga kirish emas: resurslar tekshiruv ro’yxati

Always On - bu ulanish hayot tsikli: profil tizimga kirish paytida yoki undan oldin ulanadi va foydalanuvchi hech narsa bosmasa ham qayta ulanadi. Bu har bir xususiy manzil, protokol va foydalanuvchiga ruxsat bor degani emas. Amaliy savol - joylashtirilgan profil aslida qanday resurslarni yetkazib berishidir va bu javob Connected belgisiga qarashni emas, har bir resursni alohida tekshirishni talab qiladi.

1-qadam: Resursni tekshirishdan oldin yozib oling

Har bir ilova uchun qisqa yozuvdan boshlang va qiymatlarni haqiqiy muhitdan oling: nom, manzil prefiksi, xizmat va port, tunnel roli, identifikatsiya guruhi va hal qiluvchi yo’li.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

Yozuv to’rtta alohida savolni majbur qiladi. Marshrut manzil qayerga ketishini hal qiladi; DNS siyosati klient manzilni qanday bilishini hal qiladi; trafik filtri bu trafik ulanishdan foydalana olishini hal qiladi; manzilning xavfsizlik devori va ilova ruxsatlari so’rov qabul qilinishini hal qiladi. Bu to’rttadan hech biri ulangan tunneldan kelib chiqmaydi.

2-qadam: Uni qaysi tunnel tashishi kerakligini aniqlang

Windows Always On VPN da qurilma tunneli va foydalanuvchi tunneli bor va ular alohida sertifikatlar hamda qamrovlar bilan alohida profillar sifatida sozlanadi. Qurilma tunneli odatda faqat kirishdan oldin kerak bo’lgan infratuzilmani, masalan, boshqaruv va domen xizmatlarini tashiydi; xodimlarning keng ilova kirishi foydalanuvchi tunneliga tegishli.

Trafik filtrlari qurilma tunnelining xususiyati, shuning uchun Microsoft misoli ularni boshqaruv trafigi uchun ishlatadi. Bu misolni umumiy resurs profiliga ko’chirish ulanadigan, lekin noto’g’ri to’plamni tashiyotgan tunnel beradi. Faol ulanishni Get-VpnConnection bilan tasdiqlang va aynan shu ulanish ostida tekshiring.

3-qadam: Haqiqiy manzil uchun marshrutni tekshiring

Nomni bir marta hal qiling, so’ngra marshrutni ko’ring: Find-NetRoute -RemoteIPAddress 10.20.5.10 tanlangan interfeys, keyingi sakrash va manba manzilini ko’rsatadi. Agar interfeys jismoniy adapter bo’lsa, prefiks tunnel marshrutlari to’plamida yo’q yoki klient uni bo’lingan tunnel orqali chiqarib tashlagan. Mahalliy marshrut qo’shish o’rniga profil ta’rifi bilan solishtiring.

Mahalliy route add testni o’tkazib, keyingi siyosat yangilanishida yo’qolishi mumkin, shuning uchun o’zgarish boshqariladigan profilga tegishli. Prefiksni foydalanuvchi va qurilma profilida tekshiring, bo’lingan tunnel sozlamasini ham ko’ring: to’liq tunnel har bir prefiks uchun marshrut talab qilmaydi, bo’lingan tunnel tashiyotgan har bir xususiy prefiks uchun bittasini talab qiladi.

4-qadam: Xususiy nomlarni hal qilishni alohida tekshiring

Xususiy nomlarning o’z siyosat yo’li bor. Profil NRPT qoidalari va DNS qo’shimchasini qidirish ro’yxatini yetkazib berishi mumkin, ular tunnel ko’tarilgan vaqtda amal qiladi. Klient aslida nima olganini Get-DnsClientNrptPolicy bilan o’qing, so’ngra shu sessiyada nom va manzilni tekshiring. Manzillar ishlab, nomlar ishlamasa - hal qiluvchi; ikkisi ham ishlamasa - marshrut.

Nom tunnel marshrutlaridan tashqaridagi manzilga ham hal qilinishi mumkin, bu muvaffaqiyat va vaqt tugashini aralashtiradi. Qaytgan manzilni yozuvingizdagi prefiks bilan solishtiring; ular farq qilsa, xususiy zona ommaviy yoki muqobil manzil bilan javob bermoqda va mos kelgan marshrut loyihalashtirilgani emas.

5-qadam: Filtrlar, identifikatsiya va ilovaning o’z darvozasini tekshiring

Trafik filtrlari qaysi protokollar va portlar qurilma tunnelidan foydalana olishini cheklaydi, tor to’plam esa marshrut tashiyotgan resursni to’sib qo’yishi mumkin. Profil ulanishni guruhga biriktiradi, lekin resursning o’z ruxsati bor: ulana oladigan foydalanuvchi fayl serveri tomonidan avtomatik qabul qilinmaydi.

Boshqariladigan profilni uning egasi orqali o’zgartiring, u Intune bo’lsin, ProfileXML joylashtiruvi yoki operatsion skript, so’ngra oddiy qayta ulanishdan va qayta yuklashdan keyin yana tekshiring: odatiy nosozlik eskirgan mahalliy marshrut yoki faqat bir marta qo’llangan profildir. Profil versiyasini test natijasi yonida saqlang.