Bootstrap ці GPO: два шляхі да профілю VPN у Windows
Профіль, які распаўсюджваецца праз GPO, не можа быць адзіным спосабам дабрацца да агульнай папкі, якая яго распаўсюджвае. Падзяліце першую ўстаноўку і планавае абнаўленне і версіяніруйце абедзве часткі разам.
Адпраўце профіль VPN з даменнай агульнай папкі, і ўсё працуе — да ноўтбука, які не можа дасягнуць домена. У гэты момант дастаўка залежыць менавіта ад таго злучэння, дзеля якога профіль і існуе. Чалавек з гэтым ноўтбукам знаходзіцца там, куды служба падтрымкі не бачыць. Разглядайце першую ўстаноўку і планавае абнаўленне як два асобныя шляхі ў межах аднаго пакета, бо яны ламаюцца з цалкам розных прычын.
Першая ўстаноўка — гэта іншая задача
Значэнне маюць дзве падзеі, і толькі адна з іх адбываецца, пакуль сетка спрыяе. Табліца падзяляе іх па тым, што даступна, што запускае працу і як гэта звычайна ідзе не так.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Адзін правераны артэфакт можа абслугоўваць абодва шляхі; дапушчэнне пра злучанасць падзяліць нельга. Скрыпт запуску хавае гэтае дапушчэнне, пакуль працуе на стале ў карпаратыўнай сетцы, і агаляе яго ў полі. Скрыпт не дэфектны, проста яго просяць працаваць там, дзе яго ніхто не праектаваў.
Што павінен змяшчаць пакет
Перад пакаваннем вырашыце пяць рэчаў: які механізм профілю Windows падтрымліваецца, ці вобласць дзеяння на карыстальніка ці на прыладу, якія сертыфікаты або кліенцкія кампаненты абавязковыя, што кажа вызначэнне профілю і якое дзеянне яго прымяняе. ProfileXML — падтрымліваемы спосаб выяўляць налады VPN, што дастаўляецца праз CSP VPNv2, а кіраўніцтва Microsoft па параметрах профілю пералічвае, што ён можа змяшчаць. Усё па-за гэтым спісам — рашэнне, якое вы прымаеце на хаду.
Параметры дапаможнага скрыпта належаць гэтаму скрыпту. Назвы накшталт xmlFilePath або AllUserConnection — выбар аднаго аўтара, а не стандарт, якога прытрымліваецца кожны інсталятар; капіраванне іх у іншы скрыпт дае каманду, што выглядае правільна і нічога не робіць.
Трымайце скрыпт і вызначэнне пад адной версіяй і правярайце, адкуль абедзве часткі ўзяліся, разам з іх дазволамі. Прывілеяваны скрыпт запуску, які выпадкова чытаецца з SYSVOL, усё яшчэ не правераны, а распаўсюд праз палітыку — не праверка.
Як атрымаць першае злучэнне
Першая ўстаноўка адбываецца, пакуль прылада яшчэ даступная інакш: праз ухваленую сетку, існуючы канал кіравання або працэс рэгістрацыі, створаны для гэтага. Сертыфікаты і патрабаванні даверу для абранага спосабу аўтэнтыфікацыі належаць да таго самага пакета, бо праз тунель, якога яшчэ няма, нічога не загрузіць. Спытайце, які з гэтых трох каналаў рэальны для гэтага карыстальніка, перш чым хтосьці паабяцае дату. Канал, што існуе толькі на паперы, ператвараецца ў званок з поля.
Запішыце, што тэхнік або карыстальнік насамрэч робіць у гэты момант. Калі адказ такі, што ІТ падключаецца аддалена, каб дапамагчы, то шлях першай устаноўкі ціха залежыць ад другога сродку аддаленага доступу, які камусьці таксама трэба выдзеліць і падтрымліваць.
Абнаўленням патрэбны вядомы стан
Як толькі машына трапляе ў домен, звычайны даменны працэс або працэс кіравання прыладамі можа ўзяць верх. Памылкі пракрадваюцца ў вобласці дзеяння, бо скрыпт запуску працуе ў кантэксце машыны, тады як дзеянне ўваходу карыстальніка і дзеянне кіравання прыладамі могуць розніцца і па вобласці, і па правах.
Запіс злучэння для ўсіх карыстальнікаў не ёсць тунелем прылады да ўваходу, як бы ні гучалі назвы. Тунелі прылады нясуць уласныя патрабаванні да платформы, пратаколу і ўліковых даных, і чытанне гэтых патрабаванняў — адзіны спосаб даведацца, ці магчымы тут тунель да ўваходу. Карыстальніцкі тунель, што стартуе пры ўваходзе, дае іншую гарантыю.
Зрабіце шлях абнаўлення паўторным: знайдзіце профіль, які ўжо кіруецца, захавайце прадугледжаныя карыстальніцкія налады, прымяніце сумяшчальнае вызначэнне і паведаміце зразумелы вынік. Стварэнне новага профілю пры кожным абнаўленні палітыкі — гэта шлях да машыны з пяццю запісамі і карыстальнікам, які выбірае не той.
Запіс, які захоўвае гэта падтрымліваным
У перадачу ўваходзяць тры адказы: як новая выдадзеная прылада атрымлівае першае злучэнне, хто мае права змяняць пакет і як адміністратар адкочваецца з несумяшчальнай змены. Калі яны запісаныя, разгортванне больш не залежыць ад таго, у каго ўжо ёсць доступ, які трэба даць.
Захоўвайце гэты запіс побач з версіяй пакета і абнаўляйце абодва ў адной змене. Інакш наступны чалавек аднавіць bootstrap-шлях з заяўкі, закрытай год таму.