Kopirani rasphone.pbk izbrisao je druge sistemske VPN veze

Novi VPN se pojavio, autentifikacija je radila, a VPN treće strane koji je dvije godine živio na mašini nestao je u istom restartu. Ništa u dnevniku postavljanja nije to spomenulo, jer se ništa u postavljanju time nije bavilo. Paket je zamijenio globalni telefonski imenik, a druga veza je bila unos u toj datoteci. Ovo je operacija kopiranja koja se ponaša tačno onako kako operacija kopiranja treba da se ponaša.

Rješenje nije bolja kopija. Rješenje je da se datoteka ne kopira.

Šta telefonski imenik zapravo sadrži

Telefonski imenik je kontejner definicija veza, a ne profil. Unosi po korisniku žive u korisničkom profilu, a unosi za sve korisnike žive na putanji ProgramData na nivou mašine, zbog čega postavljanje koje piše tu datoteku dira svakog lokalnog korisnika odjednom. Ista datoteka nosi i unose koje su kreirali drugi dobavljači, i odatle dolazi kolateralna šteta.

Definicija veze takođe nije cijela priča. Rute, DNS politiku, materijal povjerenog CA i identitet obezbjeđuju odvojeni vlasnici.

Utvrdite koji opseg posjeduje profil

Navedite oba opsega prije nego što bilo šta napišete. Get-VpnConnection vraća unose trenutnog korisnika, a Get-VpnConnection -AllUserConnection vraća one na nivou mašine, i isto ime može postojati u oba s različitim postavkama. Odlučite koji opseg vaše postavljanje posjeduje i zapišite to, jer ažuriranje pogrešnog opsega ostavlja korisnika da se povezuje kroz stari profil dok vaša izmjena stoji u datoteci koju niko ne čita. Zakazani zadatak koji radi kao SYSTEM takođe vidi drugačiji skup profila od prijavljenog korisnika.

Imenovanje vlasnika je korak koji sprječava sljedećeg inženjera da ponovi kopiranje cijele datoteke.

Kreirajte ili ažurirajte imenovanu vezu, ništa drugo

Za izvorni Windows profil, Add-VpnConnection kreira jedan unos, a -AllUserConnection bira opseg na nivou mašine. Pokrenite ga prvo s -WhatIf, da pregled završi u vašem transkriptu, a ne u korisničkoj žalbi:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

EAP XML mora doći s nekog legitimnog mjesta: izvezen iz radnog referentnog profila, ili generisan vašim alatima za upravljanje za stvarni gateway. Bez ispravnih postavki povjerenja u server, profil se ili povezuje s pogrešnom stvari ili ne uspijeva svuda, a ni jedno nije uspjeh postavljanja.

Kada unos već postoji, uporedite njegove postavke i ažurirajte ga s Set-VpnConnection umjesto da ga brišete i ponovo kreirate. Brisanje je način na koji radna konfiguracija gubi polja koja niko nije dokumentovao, i način na koji nepovezani unosi budu uhvaćeni u širokom čišćenju.

Provjerite postoji li drugi sistem upravljanja koji će vratiti stari profil pri sljedećem osvježavanju politike. Pilot testovi ovdje češće propadaju nego na cmdletu.

Testirajte na mašini koja već ima drugi VPN

Odaberite testnu mašinu s nepovezanim unosom na nivou mašine, postavite, pa provjerite tri stvari: novi profil se pojavljuje u predviđenom opsegu, autentifikacija stiže do privatnog resursa, i nepovezani unos se još povezuje. Postavite još dva puta i potvrdite da drugo pokretanje mijenja samo profil koji posjeduje. Ta treća provjera hvata paket koji je idempotentan za svoj unos i razoran za sve ostalo.

Uklanjanje slijedi isto pravilo: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection povlači jedan unos i ostavlja ostatak datoteke na miru.

Držite prethodnu predviđenu konfiguraciju dostupnom, da ograničeno vraćanje znači ponovni uvoz jednog profila umjesto vraćanja cijelog stanja mašine.