Скапіяваны rasphone.pbk выцер іншыя VPN агульнасістэмнага ўзроўню

Новы VPN з'явіўся, аўтэнтыфікацыя працавала, а VPN трэцяга боку, які жыў на машыне два гады, знік у тым жа перазапуску. Нішто ў журнале разгортвання не згадвала пра гэта, бо нішто ў разгортванні гэтага не закранала. Пакет замяніў глабальную тэлефонную кнігу, а іншае злучэнне было запісам у гэтым файле. Гэта аперацыя капіравання, якая паводзіць сябе менавіта так, як павінна паводзіць сябе аперацыя капіравання.

Вырашэнне не ў лепшай копіі. Яно ў тым, каб не капіраваць файл.

Што тэлефонная кніга насамрэч змяшчае

Тэлефонная кніга — гэта кантэйнер вызначэнняў злучэнняў, а не профіль. Запісы асобных карыстальнікаў жывуць у профілі карыстальніка, а запісы ўсіх карыстальнікаў жывуць у шляху ProgramData агульнасістэмнага ўзроўню, таму разгортванне, якое запісвае гэты файл, закранае ўсіх лакальных карыстальнікаў адначасова. Той жа файл таксама змяшчае запісы, створаныя іншымі пастаўшчыкамі, і менавіта адсюль паходзіць пабочная шкода.

Вызначэнне злучэння таксама не ўся гісторыя. Маршруты, палітыка DNS, давераныя матэрыялы CA і ідэнтычнасць прадстаўляюцца асобнымі ўладальнікамі.

Вызначце, якая вобласць валодае профілем

Пералічыце абедзве вобласці, перш чым нешта запісваць. Get-VpnConnection вяртае запісы бягучага карыстальніка, а Get-VpnConnection -AllUserConnection вяртае запісы агульнасістэмнага ўзроўню, і адно і тое ж імя можа існаваць у абодвух з рознымі наладамі. Вырашыце, якой вобласцю валодае вашае разгортванне, і запішыце гэта, бо абнаўленне не той вобласці пакідае карыстальніка падключацца праз стары профіль, пакуль ваша змена ляжыць у файле, які ніхто не чытае. Планаваная задача, якая выконваецца як SYSTEM таксама бачыць іншы набор профіляў, чым карыстальнік, які ўвайшоў.

Называнне ўладальніка — гэта крок, які не дазваляе наступнаму інжынеру паўтарыць капіраванне ўсяго файла.

Стварыце або абнавіце названае злучэнне, і нічога больш

Для роднага профілю Windows Add-VpnConnection стварае адзін запіс, а -AllUserConnection выбірае агульнасістэмную вобласць. Запусціце яго спачатку з -WhatIf, каб прадпрагляд трапіў у ваш транскрыпт, а не ў скаргу карыстальніка:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

EAP XML павінен адкульсьці прыйсці законна: экспартаваны з працоўнага эталоннага профілю або згенераваны вашымі сродкамі кіравання для рэальнага шлюза. Без правільных налад даверу да сервера профіль або падключаецца да не таго, або церпіць няўдачу паўсюль, і ні адзін з варыянтаў не з'яўляецца поспехам разгортвання.

Калі запіс ужо існуе, параўнайце яго налады і абнавіце яго праз Set-VpnConnection, а не выдаляйце і стварайце нанова. Выдаленне — гэта тое, як працоўная канфігурацыя губляе палі, якія ніхто не дакументаваў, і тое, як непатрэбныя запісы трапляюць у шырокую чыстку.

Праверце, ці няма другой сістэмы кіравання, якая верне стары профіль пры наступным абнаўленні палітыкі. Пілоты часцей правальваюцца тут, чым на cmdlet.

Праводзьце пілот на машыне, якая ўжо мае іншы VPN

Вазьміце тэставую машыну з непатрэбным запісам агульнасістэмнага ўзроўню, разгарніце, потым праверце тры рэчы: новы профіль з'яўляецца ў патрэбнай вобласці, аўтэнтыфікацыя дасягае прыватнага рэсурсу, і непатрэбны запіс па-ранейшаму падключаецца. Разгарніце яшчэ два разы і пацвердзіце, што другі запуск змяняе толькі свой профіль. Гэтая трэцяя праверка ловіць пакет, які ідампатэнтны для свайго запісу і разбуральны для ўсяго астатняга.

Выдаленне падпарадкоўваецца таму ж правілу: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection здымае адзін запіс і пакідае астатнюю частку файла ў спакоі.

Трымайце папярэднюю мэтавую канфігурацыю даступнай, каб абмежаваны адкат азначаў паўторны імпарт аднаго профілю, а не аднаўленне стану ўсёй машыны.