Bootstrap или GPO: два пътя към VPN профил за Windows
Профил, разпространяван чрез GPO, не може да бъде единственият начин да се стигне до споделената папка, която го разпространява. Разделете първата инсталация от рутинната актуализация и версионирайте двете заедно.
Изпратете VPN профил от домейн споделена папка и всичко работи – до лаптопа, който не може да стигне до домейна. В този момент доставката зависи точно от връзката, за която профилът съществува. Човекът с този лаптоп е някъде, където помощният център не вижда. Третирайте първата инсталация и рутинната актуализация като два отделни пътя през един пакет, защото те се провалят по начини, които нямат нищо общо.
Първата инсталация е друг проблем
Значение имат две събития и само едно от тях се случва, докато мрежата съдейства. Таблицата ги разделя по това какво е налично, какво задейства работата и как обикновено се обърква.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Един прегледан артефакт може да обслужва и двата пътя; предположението за свързаност не може да се споделя. Стартов скрипт крие това предположение, докато работи на бюро в корпоративната мрежа, и го разкрива на терен. Скриптът не е дефектен, просто от него се иска да работи там, където никой не го е проектирал.
Какво трябва да съдържа пакетът
Решете пет неща преди пакетирането: кой механизъм за Windows профил се поддържа, дали обхватът е за потребител или за устройство, кои сертификати или клиентски компоненти са предварителни изисквания, какво казва дефиницията на профила и кое действие я прилага. ProfileXML е поддържаният начин за изразяване на VPN настройки, доставян чрез VPNv2 CSP, а ръководството на Microsoft за опциите на профила изброява какво може да съдържа. Всичко извън този списък е решение, което вземате в движение.
Параметрите на помощен скрипт принадлежат на този скрипт. Имена като xmlFilePath или AllUserConnection са избор на един автор, а не стандарт, който всеки инсталатор спазва; копирането им в друг скрипт дава команда, която изглежда правилна и не прави нищо.
Дръжте скрипта и дефиницията под една версия и проверете откъде идват двете, заедно с правата им. Привилегирован стартов скрипт, който случайно е четим от SYSVOL, все още не е прегледан, а разпространението чрез политика не е преглед.
Как да получим първата връзка
Първата инсталация се случва, докато устройството все още е достъпно по друг начин: одобрена мрежа, съществуващ канал за управление или процес на записване, създаден за целта. Сертификатите и изискванията за доверие за избрания метод за удостоверяване принадлежат в същия пакет, защото през тунел, който още не съществува, нищо не може да се изтегли. Преди някой да обещае дата, попитайте кой от тези три канала е реален за този потребител. Канал, който съществува само на хартия, се превръща в телефонно обаждане от терен.
Запишете какво техникът или потребителят всъщност прави в този момент. Ако отговорът е, че ИТ се свързва отдалечено, за да помогне, тогава пътят на първата инсталация тихо зависи от втори инструмент за отдалечен достъп, който някой също трябва да осигури и поддържа.
Актуализациите се нуждаят от познато състояние
Щом машината стигне до домейна, може да поеме обичайният домейн процес или процесът за управление на устройства. Грешките се промъкват в обхвата, защото стартов скрипт работи в контекста на машината, докато действие за влизане на потребител и действие за управление на устройства могат да се различават както по обхват, така и по права.
Запис за връзка за всички потребители не е тунел на устройство преди влизане, каквото и да подсказват имената. Тунелите на устройство носят собствени изисквания за платформа, протокол и идентификационни данни и четенето на тези изисквания е единственият начин да се знае дали тунел преди влизане е възможен тук. Потребителски тунел, който започва при влизане, предлага друга гаранция.
Направете пътя за актуализация повтаряем: намерете профила, който вече се управлява, запазете предвидените потребителски предпочитания, приложете съвместима дефиниция и докладвайте ясен резултат. Създаването на нов профил при всяко опресняване на политика е начинът, по който машината стига до пет записа и потребител, който избира грешния.
Записът, който го поддържа поддържимо
В предаването влизат три отговора: как новоиздадено устройство получава първата си връзка, кой има право да променя пакета и как администратор се измъква от несъвместима промяна. Когато са записани, внедряването вече не зависи от някого, който вече разполага с достъпа, който трябва да се осигури.
Съхранявайте този запис до версията на пакета и актуализирайте двете в една и съща промяна. Иначе следващият човек отново изгражда bootstrap пътя от заявка, затворена преди година.