Bootstrap أم GPO: مسارَان لملف تعريف VPN على Windows
لا يمكن أن يكون الملف الذي يُوزَّع عبر GPO الطريق الوحيد للوصول إلى المشاركة التي توزّعه. افصل التثبيت الأول عن التحديث الروتيني ووحّد إصدار الاثنين معًا.
ادفع ملف تعريف VPN من مشاركة نطاق وسيعمل كل شيء، حتى الحاسوب المحمول الذي لا يستطيع الوصول إلى النطاق. عند تلك اللحظة يعتمد التسليم على الاتصال نفسه الذي يوجد الملف لإنشائه. الشخص الذي يحمل ذلك الحاسوب في مكان لا تراه فيه خدمة الدعم. تعامل مع التثبيت الأول والتحديث الروتيني كمسارين منفصلين داخل حزمة واحدة، لأنهما يفشلان بطرق لا تشترك في شيء.
التثبيت الأول مشكلة مختلفة
هناك حدثان مهمان، وواحد فقط منهما يقع بينما الشبكة متعاونة. يفصل الجدول بينهما بحسب ما هو متاح، وما الذي يطلق العمل، وكيف يسير الأمر عادة إلى الخطأ.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
يمكن لعنصر واحد مُراجَع أن يخدم المسارين؛ أما افتراض الاتصال فلا يمكن مشاركته. يُخفي سكربت بدء التشغيل ذلك الافتراض ما دام يعمل على مكتب في شبكة الشركة، ويكشفه في الميدان. السكربت ليس معيبًا، بل يُطلب منه أن يعمل حيث لم يصممه أحد لذلك.
ما يجب أن تحتويه الحزمة
قرّر خمسة أمور قبل التغليف: أي آلية لملف تعريف Windows مدعومة، وهل النطاق لكل مستخدم أم لكل جهاز، وأي الشهادات أو مكوّنات العميل شروط مسبقة، وماذا تقول تعريفات الملف، وأي إجراء يطبّقها. ProfileXML هو الطريقة المدعومة للتعبير عن إعدادات VPN، ويُسلَّم عبر CSP الخاص بـ VPNv2، ودليل خيارات الملف من Microsoft يسرد ما يمكن أن يحتويه. وكل ما يخرج عن تلك القائمة قرار تتخذه في الحال.
معاملات السكربت المساعد تنتمي إلى ذلك السكربت. الأسماء مثل xmlFilePath أو AllUserConnection اختيارات مؤلف واحد وليست معيارًا يلتزم به كل مُثبِّت؛ ونسخها إلى سكربت آخر يعطي أمرًا يبدو صحيحًا ولا يفعل شيئًا.
أبقِ السكربت والتعريف تحت إصدار واحد، ودقّق من أين جاء كلاهما مع أذوناتهما. سكربت بدء التشغيل ذو الامتيازات الذي يُقرأ من SYSVOL بالمصادفة لم يُراجَع بعد، والتوزيع عبر السياسة ليس مراجعة.
الحصول على الاتصال الأول
يحدث التثبيت الأول بينما لا يزال الجهاز قابلًا للوصول بطريقة أخرى: شبكة معتمدة، أو قناة إدارة قائمة، أو سير تسجيل مصمم لهذا. تنتمي شهادات طريقة المصادقة المختارة وشروط الثقة بها إلى الحزمة نفسها، إذ لا يمكن جلب شيء عبر نفق غير موجود بعد. اسأل أي القنوات الثلاث حقيقية لهذا المستخدم قبل أن يعد أحد بموعد. القناة الموجودة على الورق فقط تتحول إلى مكالمة هاتفية من الميدان.
اكتب ما يفعله الفني أو المستخدم فعليًا في تلك اللحظة. إذا كان الجواب أن قسم تقنية المعلومات يتصل عن بعد للمساعدة، فإن مسار التثبيت الأول يعتمد بهدوء على أداة وصول عن بعد ثانية يجب على أحدهم توفيرها ودعمها أيضًا.
التحديثات تحتاج إلى حالة معروفة
بمجرد وصول الجهاز إلى النطاق، يمكن لعملية النطاق أو إدارة الأجهزة المعتادة أن تتولى الأمر. الأخطاء تتسلل في النطاق، لأن سكربت بدء التشغيل يعمل في سياق الجهاز، بينما قد يختلف إجراء تسجيل دخول المستخدم وإجراء إدارة الأجهزة في النطاق والإذن معًا.
إدخال الاتصال لجميع المستخدمين ليس نفق جهاز قبل تسجيل الدخول، أيًا كانت دلالة الأسماء. تنقل أنفاق الأجهزة متطلباتها الخاصة من المنصة والبروتوكول وبيانات الاعتماد، وقراءة تلك المتطلبات هي الطريقة الوحيدة لمعرفة ما إذا كان نفق قبل تسجيل الدخول ممكنًا هنا. أما نفق المستخدم الذي يبدأ عند تسجيل الدخول فيقدم ضمانًا مختلفًا.
اجعل مسار التحديث قابلًا للتكرار: اعثر على الملف المُدار أصلًا، واحتفظ بتفضيلات المستخدم المقصودة، وطبّق تعريفًا متوافقًا، وأبلغ نتيجة واضحة. إنشاء ملف جديد عند كل تحديث للسياسة هو السبب في أن ينتهي الجهاز بخمسة إدخالات ومستخدم يختار الخطأ.
السجل الذي يبقيه قابلًا للدعم
ثلاثة أجوبة تنتمي إلى التسليم: كيف يحصل جهاز صادر حديثًا على اتصاله الأول، ومن يُسمح له بتغيير الحزمة، وكيف يتراجع المسؤول عن تغيير غير متوافق. حين تُكتب هذه، لم يعد النشر يعتمد على شخص يملك سلفًا الوصول المطلوب توفيره.
احفظ ذلك السجل بجوار إصدار الحزمة وحدّث الاثنين في التغيير نفسه. وإلا فإن الشخص التالي يعيد بناء مسار bootstrap من تذكرة أُغلقت قبل عام.