Windows Always On VPN’da qurilma tunnelimi yoki foydalanuvchi tunnelimi?

Kirish ekranidan boshqaruv serveriga yetib borishi kerak bo‘lgan noutbuk va foydalanuvchi autentifikatsiya qilingandan keyin fayl bo‘lishmalariga yetib borishi kerak bo‘lgan noutbuk ikki xil muammodir. Windows ularni ikki xil tunnel bilan hal qiladi, farq esa profil ro‘yxatida qaysi biri ko‘rinishida emas. Qurilma tunnelimi mashina sifatida ishlaydi, hech kim kirishidan oldin. Foydalanuvchi tunnelimi shaxs sifatida ishlaydi, platformada ishlash uchun identifikatsiya paydo bo‘lgandan keyin. Ikkalasi orasidagi tanlov trafik oqishi kerak bo‘lgan lahzadan boshlanadi, u yetib borishi kerak bo‘lgan resurslardan emas.

Ikki identifikatsiya, ikki lahza

Qurilma tunnelimi mashina kontekstida o‘rnatiladi, shu sababli u foydalanuvchini autentifikatsiya qilish uchun kerak bo‘lgan trafikni yoki boshqaruv agentlarining kirishdan oldin hisobot berishini tashishi mumkin. Foydalanuvchi tunnelimi foydalanuvchi kontekstida, kirgandan keyin, foydalanuvchining hisob ma’lumotlari va shu hisobga qo‘llaniladigan siyosat bilan o‘rnatiladi.

Aynan shu vaqt farqi butun dizayndir. Qolgan hamma narsa shundan kelib chiqadi, jumladan qaysi autentifikatsiya usullari mavjudligi va qaysi resurslar mazmunga ega ekani.

Agar talab kirgan shaxs ishlatadigan biznes ilova bo‘lsa, foydalanuvchi tunnelimi javob beradi. Agar talab kirish ekranidan yetib borish mumkin bo‘lgan domen kontrolleri, sertifikat organi yoki boshqaruv xizmati bo‘lsa, faqat qurilma tunnelimi yetarlicha erta.

Telefon daftari farq emas

Barcha foydalanuvchilarning telefon daftariga mahalliy profilni saqlash qurilma tunnelini yaratmaydi. Profil mashinadagi har bir foydalanuvchi uchun ochiq bo‘ladi, bu saqlash qamrovining masalasi, va u baribir foydalanuvchi kontekstida ulanadi.

Haqiqiy qurilma tunnelimi xuddi shunday sozlanadi, Microsoft uning uchun hujjatlashtirgan platforma, protokol va sertifikat talablari bilan. Bu talablarga quyidagilar kiradi: uni qo‘llab-quvvatlaydigan nashr, domenga ulangan qurilma, IKEv2 va mashina sertifikati bilan autentifikatsiya. Foydalanuvchi tunnelidan nusxa ko‘chirib nomi o‘zgartirilgan device nomli profil bulardan hech birini qanoatlantirmaydi.

Microsoftning qurilma tunnelimi hujjati profil shakli uchun manba bo‘lib, ishlaydigan foydalanuvchi profilini qayta ishlatish mumkin deb hisoblashdan oldin uni o‘qishga arziydi.

Har bir yo‘lni tor tuting

Qurilma tunnelimi faqat mashinaga kirishdan oldin kerak bo‘lgan narsalarga yetib borishi kerak: katalog, sertifikat organi, boshqaruv so‘nggi nuqtasi va ularni hal qiluvchi DNS yozuvlari. Uning marshrutlari va xavfsizlik devori qoidalari butun korporativ diapazonni emas, aynan shu qisqa ro‘yxatni aks ettirishi kerak.

Foydalanuvchi tunnelimi shaxsning ruxsatini tashiydi va joriy etish talab qilganidek guruh, ilova yoki manzil bo‘yicha cheklanishi mumkin. Ikki qamrovni aralashtirish — kirishdan oldingi tunnelning hech bir mashina hisobi ega bo‘lmasligi kerak bo‘lgan fayl bo‘lishmasi ruxsatini olish yo‘li.

Ikkala tunnelni birga joriy etish mumkin va ko‘pchilik Always On dizaynlarida shunday qilinadi. Qurilma tunnelimi birinchi ko‘tariladi va tor bo‘lib qoladi. Foydalanuvchi tunnelimi kirish paytida ko‘tariladi va ish trafigini tashiydi. Faqat bittasini joriy qilsangiz, qaysi nosozlik bilan yashay olishingizni hal qiling. Tarmoqsiz kirish ekrani va boshqaruv trafigini tashuvchi foydalanuvchi tunnelimi ikkalasi ham yomon, lekin odatda sizning muhitingizda faqat bittasi maqbuldir.

Bosqichni sinang, brauzerni emas

Kirgandan keyingi muvaffaqiyatli brauzer so‘rovi foydalanuvchi tunnelini isbotlaydi va qurilma tunnelimi haqida hech narsa demaydi. Bosqichlarni alohida sinang: sovuq ishga tushishdan kirish ekranigacha, kirishning o‘zi, foydalanuvchi ulanishi va uyqu yoki tarmoq o‘zgarishidan keyin tiklanish.

Kirish ekranida tekshiruv — mashina hech qanday foydalanuvchi kirmasdan boshqaruv so‘nggi nuqtasiga yeta oladimi. Qurilma tunnelimi yolg‘iz mavjud bo‘lgan yagona lahza shu, va odamlar aynan shu bosqichni o‘tkazib yuboradi, chunki uni sinash qayta ishga tushirishni talab qiladi.

Kirgandan keyin foydalanuvchi tunnelini alohida tekshiring, qurilma tunnelimi ishlab turgan, lekin foydalanuvchi tunnelimi muvaffaqiyatsiz bo‘lgan holatni ham qo‘shib. Ikki holatli ikki tunnel to‘rtta kombinatsiya beradi va ulardan faqat bittasi sog‘lom ko‘rinadi.

Muvaffaqiyatsiz bo‘lsa, avval tunnelni nomlang

Mashina sertifikatini yangilash va foydalanuvchi hisobini tiklash — egalari boshqa, har xil vazifalar. Sertifikat muddati tugagandan keyin muvaffaqiyatsiz bo‘lgan qurilma tunnelimi foydalanuvchining hisob ma’lumotlarini qayta o‘rnatish bilan tuzatilmaydi, parol o‘zgargandan keyin muvaffaqiyatsiz bo‘lgan foydalanuvchi tunnelimi esa mashina sertifikatini qayta berish bilan tuzatilmaydi.

Qaysi tunnel faol bo‘lganini, qaysi identifikatsiyadan foydalanganini va qaysi bosqich muvaffaqiyatsiz bo‘lganini qayd eting, so‘ng buni ishlatilayotgan nashr va boshqaruv muhiti uchun hujjatlashtirilgan talablar bilan solishtiring. Eski umumiy VPN ustasini nusxalash — joriy etishlarning faqat administratorlar uchun ishlaydigan qurilma tunnelimi bilan tugashining yo‘li.

Ish tartibi: trafik oqishi kerak bo‘lgan lahzani nomlang, shu lahzada mavjud tunnelni tanlang, uning marshrutlarini toraytiring, hayot tsiklining har bir bosqichini alohida sinang va ikki identifikatsiyaning tiklash tartiblarini alohida saqlang.