Connectar la VPN no torna a executar el script d'inici de sessió

El vostre usuari inicia sessió a casa, connecta la VPN i espera la unitat de xarxa que abans apareixia sola a l'oficina. El túnel s'aixeca, el domini respon i no es mapatge res. No hi ha res trencat: un script d'inici de sessió s'executa en iniciar sessió, i un túnel obert vint minuts després de començar la sessió no és un inici de sessió. Llegir els dos com un sol esdeveniment envia la gent a buscar una fallada de VPN que no existeix.

Quatre decisions converteixen la sorpresa en un flux de treball que es comporta bé, i la primera és simplement saber sobre quins esdeveniments cavalca un script.

Els scripts cavalquen sobre esdeveniments de cicle de vida que no podeu repetir

La política del costat de l'equip s'aplica quan la màquina arrenca i la política del costat de l'usuari quan algú inicia sessió, mentre que una actualització en segon pla recorre la mateixa configuració sense reiniciar res. Aquesta actualització processa l'extensió dels scripts, però no torna a executar els scripts individuals, que només es disparen a l'arrencada, l'aturada, l'inici o el tancament de sessió. Per tant, gpupdate /force pot informar d'èxit mentre el mapatge encara falta, i una actualització neta no és prova que el script hagi fet res.

La referència de Microsoft sobre el processament traça exactament aquesta línia entre processar l'extensió i executar el que conté, i és la pàgina que cal citar quan algú insisteix que una actualització hauria d'haver repetit el script.

Tampoc no falla tot script fora de línia. Un que només llegeix material local o en memòria cau pot haver tingut èxit parcial, mentre que un que toca un recurs compartit falla en silenci i no deixa cap marca òbvia. Comproveu el camí real del script i fins on arriba abans de culpar la xarxa. La mateixa revisió pertoca a qualsevol afirmació que un script no s'executa en iniciar sessió, perquè una tasca programada o una acció del client poden estar fent la feina on ningú no mira.

Lligueu la feina a la connexió, no a l'inici de sessió

Tres feines diferents s'amaguen darrere la frase script d'inici de sessió: mapar una unitat després que l'usuari es connecti, aplicar la configuració de la màquina abans que ningú iniciï sessió i obtenir la política actualitzada. Tenen terminis diferents, i només la segona necessita realment connectivitat abans de l'inici de sessió. Escriviu el requisit com una frase amb un termini, per exemple: aquest mapatge ha d'existir dins del minut següent a l'aixecament del túnel.

Per a la feina que ha de passar després de la connexió, feu servir una tasca desencadenada per la connexió o l'acció de connexió que admeti el client. Comproveu quin esdeveniment emet realment el client, perquè un esdeveniment generat pel client VPN natiu de Windows no el genera un de tercers. Per a la configuració de la màquina que ha de precedir l'inici de sessió, la resposta admesa és un túnel de dispositiu o un altre disseny previ a l'inici de sessió, no una tasca que es dispari quan aparegui l'escriptori. Executeu la feina amb la identitat i la sessió que la necessiten, ja que un mapatge creat com a SYSTEM acaba en una sessió que l'usuari no veu mai.

Proveu la preparació abans d'actuar i fallau sorollosament

Un esdeveniment de connexió pot arribar abans que el DNS o el servidor de fitxers siguin utilitzables, així que la tasca ha de provar el que necessita en lloc de suposar-ho. Resoleu el nom concret, proveu la connexió concreta i reintenteu amb un límit i un retard: Resolve-DnsName files.corp.example dins d'un bucle curt separa encara-no de mai. Informeu d'una fallada concreta després de l'últim reintent, amb el nom i l'error a dins.

Un bucle sense fi i sense registre és indistingible d'una tasca que no va començar mai, i amaga la diferència entre una credencial caducada i una regla de tallafoc.

Verifiqueu quatre coses i després feu-ho repetible

Durant el pilot, registreu quatre observacions en lloc d'una: l'esdeveniment de connexió es va disparar, la tasca es va iniciar, el recurs va respondre i el canvi sol·licitat va arribar de debò. Si el registre s'atura a tasca iniciada, la fallada real queda invisible per molt que espereu. Després executeu gpresult /scope user /v per veure quina política creu tenir la sessió i compareu-ho amb la configuració que esperàveu. Un informe que llista el GPO com a aplicat encara no diu res sobre un mapatge.

Feu que la feina es pugui repetir amb seguretat abans d'ampliar-la, perquè el client es reconnecta i la tasca es torna a disparar. Comproveu si ja existeix el mapatge o la configuració abans de crear-lo i registreu què heu trobat. La feina duplicada després de cada reconnexió transitòria és com una tasca útil es converteix en un incident.

Quan un activador automàtic no és adequat, una acció d'usuari aprovada que executa el mateix script signat és un disseny legítim. Fa explícit el moment en lloc de fingir que ha passat un esdeveniment d'inici de sessió.