Bootstrap of GPO: twee roetes vir ’n Windows-VPN-profiel
’n Profiel wat per GPO versprei word, kan nie die enigste manier wees om by die deel te kom wat dit versprei nie. Skei eerste installasie van roetine-opdatering en weergee beide saam.
Stuur ’n VPN-profiel vanaf ’n domeindeel uit en alles werk, tot by die skootrekenaar wat nie die domein kan bereik nie. Op daardie punt hang die aflewering van presies die verbinding af waarvoor die profiel bestaan. Die persoon met daardie skootrekenaar is iewers waar die helpdesk nie kan sien nie. Behandel eerste installasie en roetine-opdatering as twee afsonderlike roetes deur een pakket, want die twee misluk op maniere wat niks gemeen het nie.
Eerste installasie is ’n ander probleem
Twee gebeurtenisse maak saak, en net een daarvan gebeur terwyl die netwerk saamwerk. Die tabel skei hulle volgens wat beskikbaar is, wat die werk veroorsaak en hoe dit gewoonlik verkeerd loop.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Een nagegane artefak kan beide roetes dien; die aanname oor verbinding kan nie gedeel word nie. ’n Opstartskrip verberg daardie aanname terwyl dit op ’n lessenaar in die korporatiewe netwerk loop, en lê dit in die veld bloot. Die skrip is nie fout nie; daar word net van hom gevra om te loop waar niemand hom ontwerp het nie.
Wat die pakket moet bevat
Bepaal vyf dinge voordat jy pak: watter Windows-profielmeganisme ondersteun word, of die omvang per gebruiker of per toestel is, watter sertifikate of kliëntkomponente voorvereistes is, wat die profieldefinisie sê en watter aksie dit toepas. ProfileXML is die ondersteunde manier om VPN-instellings uit te druk, gelewer deur die VPNv2-CSP, en die Microsoft-gids oor profielopsies lys wat dit kan bevat. Enigiets buite daardie lys is ’n besluit wat jy ter plaatse neem.
Die parameters van ’n hulpskrip hoort by daardie skrip. Name soos xmlFilePath of AllUserConnection is een outeur se keuses en nie ’n standaard wat elke installeerder eerbiedig nie; om hulle na ’n ander skrip te kopieer lewer ’n opdrag wat reg lyk en niks doen nie.
Hou die skrip en die definisie onder een weergawe, en gaan na waar albei vandaan kom saam met hulle regte. ’n Bevoorregte opstartskrip wat toevallig van SYSVOL leesbaar is, is steeds nie nagegaan nie, en verspreiding per beleid is nie ’n hersiening nie.
Kry die eerste verbinding
Die eerste installasie gebeur terwyl die toestel nog op ’n ander manier bereikbaar is: ’n goedgekeurde netwerk, ’n bestaande bestuurskanaal of ’n inskrywingswerkvloei wat hiervoor ontwerp is. Sertifikate en vertrouensvoorvereistes vir die gekose verifikasiemetode hoort in dieselfde pakket, want niks kan oor ’n tonnel afgelaai word wat nog nie bestaan nie. Vra watter van daardie drie kanale vir hierdie gebruiker werklik is voordat iemand ’n datum belowe. ’n Kanaal wat net op papier bestaan, word ’n telefoonoproep uit die veld.
Skryf neer wat die tegnikus of die gebruiker op daardie oomblik werklik doen. As die antwoord is dat IT op afstand koppel om te help, dan hang die eerste-installasieroete stilweg van ’n tweede afstandtoegangsmiddel af wat iemand ook moet voorsien en ondersteun.
Opdaterings het ’n bekende toestand nodig
Sodra die masjien die domein bereik, kan die gewone domein- of toestelbestuursproses oorneem. Foute sluip in by die omvang, want ’n opstartskrip loop in masjienkonteks, terwyl ’n gebruiker-aanmeldaksie en ’n toestelbestuursaksie kan verskil in beide omvang en regte.
’n Verbinding-inskrywing vir alle gebruikers is nie ’n toesteltonnel voor aanmelding nie, wat die name ook al suggereer. Toesteltonnels het hulle eie vereistes vir platform, protokol en geloofsbriewe, en om daardie vereistes te lees is die enigste manier om te weet of ’n tonnel voor aanmelding hier moontlik is. ’n Gebruikertonnel wat by aanmelding begin, bied ’n ander waarborg.
Maak die opdateringsroete herhaalbaar: vind die profiel wat reeds bestuur word, behou die bedoelde gebruikervoorkeure, pas ’n versoenbare definisie toe en rapporteer ’n duidelike resultaat. Om by elke beleidsvernuwing ’n nuwe profiel te skep, is hoe ’n masjien vyf inskrywings kry en ’n gebruiker die verkeerde kies.
Die rekord wat dit ondersteunbaar hou
Drie antwoorde hoort in die oorhandiging: hoe ’n nuut uitgereikte toestel sy eerste verbinding kry, wie die pakket mag verander en hoe ’n administrateur ’n onversoenbare verandering terugdraai. Met dit neergeskryf, hang die ontplooiing nie meer af van iemand wat reeds die toegang het wat voorsien word nie.
Bewaar daardie rekord langs die pakketweergawe en werk beide in dieselfde verandering by. Anders bou die volgende persoon die bootstrap-roete weer op uit ’n kaartjie wat ’n jaar gelede gesluit is.