'n Gekopieerde rasphone.pbk het die ander stelselwye VPN's uitgewis

Die nuwe VPN het verskyn, verifikasie het gewerk, en 'n derdeparty-VPN wat twee jaar lank op die masjien gewoon het, het in dieselfde herbegin verdwyn. Niks in die ontplooiingslog het dit genoem nie, want niks in die ontplooiing het dit aangespreek nie. Die pakket het die globale telefoonboek vervang, en die ander verbinding was 'n inskrywing in daardie lêer. Dit is 'n kopieerhandeling wat presies doen wat 'n kopieerhandeling behoort te doen.

Die oplossing is nie 'n beter kopie nie. Dit is om nie die lêer te kopieer nie.

Wat die telefoonboek werklik bevat

'n Telefoonboek is 'n houer van verbindingsdefinisies, nie 'n profiel nie. Inskrywings per gebruiker woon onder die gebruikersprofiel, en alle-gebruiker-inskrywings woon onder die masjienwye ProgramData-pad, en daarom raak 'n ontplooiing wat daardie lêer skryf elke plaaslike gebruiker gelyktydig. Dieselfde lêer dra ook inskrywings wat deur ander verskaffers geskep is, en dit is waar die kollaterale skade vandaan kom.

'n Verbindingsdefinisie is ook nie die hele storie nie. Roetes, DNS-beleid, vertroude CA-materiaal en identiteit word deur aparte eienaars voorsien.

Vind watter omvang die profiel besit

Lys beide omvange voordat jy iets skryf. Get-VpnConnection gee die huidige gebruiker se inskrywings terug en Get-VpnConnection -AllUserConnection gee die masjienwye inskrywings terug, en dieselfde naam kan in albei bestaan met verskillende instellings. Besluit watter omvang jou ontplooiing besit en skryf dit neer, want om die verkeerde omvang op te dateer laat die gebruiker deur die ou profiel verbind terwyl jou verandering in 'n lêer sit wat niemand lees nie. 'n Geskeduleerde taak wat as SYSTEM loop sien ook 'n ander stel profiele as die aangemelde gebruiker.

Om die eienaar te benoem is die stap wat die volgende ingenieur keer om die heel-lêer-kopie te herhaal.

Skep of dateer die benoemde verbinding op, niks anders nie

Vir 'n inheemse Windows-profiel, Add-VpnConnection skep een inskrywing, en -AllUserConnection kies die masjienwye omvang. Voer dit eers met -WhatIf uit, sodat die voorskou in jou transkripsie beland eerder as in 'n gebruiker se klag:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

Die EAP-XML moet van iewers wettig kom: uitgevoer uit 'n werkende verwysingsprofiel, of gegenereer deur jou bestuurstoerusting vir die werklike gateway. Sonder korrekte bediener-vertroue-instellings verbind die profiel of aan die verkeerde ding of misluk oral, en nie een daarvan is 'n ontplooiingsukses nie.

Wanneer die inskrywing reeds bestaan, vergelyk sy instellings en dateer dit op met Set-VpnConnection in plaas van om dit te skrap en te herskep. Skrap is hoe 'n werkende konfigurasie velde verloor wat niemand gedokumenteer het nie, en dit is hoe onverwante inskrywings in 'n breë opruiming vasgevang word.

Kyk vir 'n tweede bestuurstelsel wat die ou profiel by die volgende beleidsverfrissing sal terugbring. Proefnemings misluk hier dikwels meer as by die cmdlet.

Proef op 'n masjien wat reeds 'n ander VPN het

Kies 'n toetsmasjien met 'n onverwante stelselwye inskrywing, ontplooi, en verifieer dan drie dinge: die nuwe profiel verskyn in die beoogde omvang, verifikasie bereik 'n private hulpbron, en die onverwante inskrywing verbind steeds. Ontplooi nog twee keer en bevestig dat die tweede lopie net die profiel verander wat hy besit. Daardie derde kontrole vang 'n pakket wat idempotent vir sy eie inskrywing en vernietigend vir alles anders is.

Verwydering volg dieselfde reël: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection onttrek een inskrywing en laat die res van die lêer ongemoeid.

Hou die vorige beoogde konfigurasie beskikbaar, sodat 'n beperkte terugrol beteken om een profiel weer in te voer eerder as om 'n hele masjientoestand te herstel.