Đường hầm thiết bị hay đường hầm người dùng trong Windows Always On VPN?

Một laptop cần truy cập máy chủ quản trị ngay từ màn hình đăng nhập và một laptop cần truy cập các thư mục chia sẻ sau khi người dùng được xác thực là hai vấn đề khác nhau. Windows giải quyết chúng bằng hai đường hầm khác nhau, và khác biệt không phải ở chỗ đường hầm nào xuất hiện trong danh sách hồ sơ. Đường hầm thiết bị chạy với tư cách máy, trước khi bất kỳ ai đăng nhập. Đường hầm người dùng chạy với tư cách con người, sau khi nền tảng có danh tính để làm việc. Việc chọn giữa hai loại bắt đầu từ thời điểm lưu lượng phải chảy, không phải từ tài nguyên mà nó phải chạm tới.

Hai danh tính, hai thời điểm

Đường hầm thiết bị được thiết lập trong ngữ cảnh máy, vì vậy nó có thể mang lưu lượng cần thiết để xác thực người dùng hoặc để các tác nhân quản trị báo cáo trước khi đăng nhập. Đường hầm người dùng được thiết lập trong ngữ cảnh người dùng, sau khi đăng nhập, với thông tin xác thực của người dùng và chính sách áp dụng cho tài khoản đó.

Khác biệt thời điểm đó chính là toàn bộ thiết kế. Mọi thứ khác đều suy ra từ nó, kể cả việc những phương thức xác thực nào có sẵn và những tài nguyên nào có ý nghĩa.

Nếu yêu cầu là một ứng dụng doanh nghiệp được người đã đăng nhập sử dụng, đường hầm người dùng là câu trả lời. Nếu yêu cầu là bộ điều khiển miền, tổ chức chứng nhận hoặc dịch vụ quản trị có thể truy cập từ màn hình đăng nhập, chỉ đường hầm thiết bị là đủ sớm.

Danh bạ điện thoại không phải là điểm khác biệt

Lưu một hồ sơ gốc vào danh bạ của tất cả người dùng không tạo ra đường hầm thiết bị. Hồ sơ trở nên khả dụng cho mọi người dùng trên máy, đó là vấn đề phạm vi lưu trữ, và nó vẫn kết nối trong ngữ cảnh người dùng.

Một đường hầm thiết bị thật được cấu hình đúng như vậy, với các yêu cầu về nền tảng, giao thức và chứng chỉ mà Microsoft ghi lại cho nó. Những yêu cầu đó bao gồm một phiên bản hỗ trợ nó, thiết bị đã tham gia miền, IKEv2 và xác thực bằng chứng chỉ máy. Một hồ sơ tên là device, được sao từ đường hầm người dùng rồi đổi tên, không đáp ứng điều nào trong số đó.

Tài liệu của Microsoft về đường hầm thiết bị là tài liệu tham chiếu cho hình dạng hồ sơ, và đáng đọc trước khi cho rằng một hồ sơ người dùng đang hoạt động có thể dùng lại.

Giữ mỗi đường đi hẹp

Đường hầm thiết bị chỉ nên chạm tới những gì máy cần trước khi đăng nhập: thư mục, tổ chức chứng nhận, điểm cuối quản trị và các bản ghi DNS phân giải chúng. Các tuyến và quy tắc tường lửa của nó nên phản ánh danh sách ngắn đó chứ không phải toàn bộ dải mạng doanh nghiệp.

Đường hầm người dùng mang quyền truy cập của con người và có thể được giới hạn theo nhóm, ứng dụng hoặc đích đến như việc triển khai yêu cầu. Trộn hai phạm vi là cách một đường hầm trước đăng nhập có được quyền truy cập thư mục chia sẻ mà không tài khoản máy nào nên có.

Cả hai đường hầm có thể được triển khai cùng nhau, và trong hầu hết thiết kế Always On là như vậy. Đường hầm thiết bị lên trước và giữ hẹp. Đường hầm người dùng lên khi đăng nhập và mang lưu lượng công việc. Nếu chỉ triển khai một, hãy quyết định lỗi nào bạn có thể sống chung. Màn hình đăng nhập không có mạng và đường hầm người dùng mang lưu lượng quản trị đều tệ, nhưng thường chỉ một trong hai là chấp nhận được trong môi trường của bạn.

Kiểm thử giai đoạn, không phải trình duyệt

Một yêu cầu trình duyệt thành công sau khi đăng nhập chứng minh đường hầm người dùng và không nói gì về đường hầm thiết bị. Kiểm thử từng giai đoạn riêng: khởi động nguội đến màn hình đăng nhập, bản thân việc đăng nhập, kết nối của người dùng và phục hồi sau khi ngủ hoặc thay đổi mạng.

Ở màn hình đăng nhập, phép kiểm tra là liệu máy có chạm được điểm cuối quản trị khi không có người dùng nào đăng nhập. Đó là thời điểm duy nhất đường hầm thiết bị tồn tại một mình, và đó cũng là giai đoạn mọi người bỏ qua vì kiểm thử nó cần khởi động lại.

Sau khi đăng nhập, hãy kiểm tra đường hầm người dùng riêng, kể cả trường hợp đường hầm thiết bị đang lên nhưng đường hầm người dùng thất bại. Hai đường hầm với hai trạng thái tạo ra bốn tổ hợp, và chỉ một trong số đó trông khỏe mạnh.

Khi nó thất bại, hãy gọi tên đường hầm trước

Gia hạn chứng chỉ máy và phục hồi tài khoản người dùng là hai công việc khác nhau với người phụ trách khác nhau. Một đường hầm thiết bị hỏng sau khi chứng chỉ hết hạn sẽ không được sửa bằng cách đặt lại thông tin xác thực của người dùng, và một đường hầm người dùng hỏng sau khi đổi mật khẩu sẽ không được sửa bằng cách phát hành lại chứng chỉ máy.

Ghi lại đường hầm nào đang hoạt động, dùng danh tính nào và giai đoạn nào thất bại, rồi so sánh với các yêu cầu đã ghi cho phiên bản và môi trường quản trị đang dùng. Sao chép một trình hướng dẫn VPN chung cũ là cách các lần triển khai kết thúc với một đường hầm thiết bị chỉ chạy được cho quản trị viên.

Thứ tự công việc: gọi tên thời điểm lưu lượng phải chảy, chọn đường hầm tồn tại ở thời điểm đó, thu hẹp các tuyến của nó, kiểm thử riêng từng giai đoạn của vòng đời, và giữ tách biệt quy trình phục hồi của hai danh tính.