Připojení k VPN znovu nespustí váš přihlašovací skript

Váš uživatel se přihlásí doma, připojí VPN a čeká na mapování jednotky, které se dřív v kanceláři objevilo samo. Tunel se zvedne, doména odpovídá a nic se nemapuje. Nic není rozbité: přihlašovací skript běží při přihlášení a tunel otevřený dvacet minut po začátku relace není přihlášení. Číst obojí jako jednu událost posílá lidi hledat závadu VPN, která neexistuje.

Čtyři rozhodnutí mění překvapení v postup, který se chová správně, a první je prostě vědět, na kterých událostech skript stojí.

Skripty stojí na událostech životního cyklu, které nelze přehrát

Zásady na straně počítače se uplatní při startu stroje a zásady na straně uživatele při přihlášení někoho, zatímco obnova na pozadí prochází stejná nastavení, aniž by cokoli restartovala. Tato obnova zpracuje rozšíření skriptů, ale znovu nespustí jednotlivé skripty, které se spouštějí jen při startu, vypnutí, přihlášení nebo odhlášení. Proto gpupdate /force může hlásit úspěch, i když mapování stále chybí, a čistá obnova není důkaz, že skript něco udělal.

Referenční dokumentace Microsoftu ke zpracování zásad vytyčuje přesně tuto hranici mezi zpracováním rozšíření a spuštěním toho, co obsahuje, a je to stránka, na kterou se odkazuje, když někdo trvá na tom, že obnova měla skript přehrát.

Ne každý skript selže i offline. Ten, který čte jen místní nebo cachovaný materiál, mohl částečně uspět, kdežto ten, který sahá na sdílený prostředek, selže tiše a nezanechá zjevnou stopu. Zkontrolujte skutečnou cestu skriptu a na co dosáhne, než obviníte síť. Stejnou kontrolu si zaslouží každé tvrzení, že se skript při přihlášení nespouští, protože práci může dělat naplánovaná úloha nebo akce klienta tam, kam se nikdo nedívá.

Připojte práci k připojení, ne k přihlášení

Za slovem přihlašovací skript se skrývají tři různé úlohy: namapovat jednotku poté, co se uživatel připojí, uplatnit konfiguraci stroje dřív, než se někdo přihlásí, a stáhnout aktualizované zásady. Mají různé termíny a jen ta druhá skutečně potřebuje připojení před přihlášením. Napište požadavek jako větu s termínem, například: toto mapování musí existovat do minuty od zvednutí tunelu.

Pro práci, která musí nastat po připojení, použijte úlohu spouštěnou připojením nebo akci připojení, kterou klient podporuje. Zkontrolujte, kterou událost klient skutečně vysílá, protože událost, kterou vyvolá nativní klient Windows VPN, nevyvolá klient třetí strany. Pro konfiguraci stroje, která musí předcházet přihlášení, je podporovanou odpovědí tunel zařízení nebo jiný návrh před přihlášením, ne úloha, která se spustí, jakmile se objeví plocha. Spusťte práci v identitě a relaci, které ji potřebují, protože mapování vytvořené jako SYSTEM skončí v relaci, kterou uživatel nikdy nevidí.

Otestujte připravenost před akcí a selhávejte nahlas

Událost připojení může dorazit dřív, než je DNS nebo souborový server použitelný, takže úloha má testovat, co potřebuje, místo aby předpokládala. Přeložte konkrétní jméno, zkuste konkrétní připojení a opakujte s limitem a prodlevou: Resolve-DnsName files.corp.example v krátké smyčce odděluje ještě-ne od nikdy. Po posledním pokusu hlaste konkrétní selhání, se jménem a chybou v něm.

Nekonečná smyčka bez záznamu je nerozlišitelná od úlohy, která nikdy nezačala, a skrývá rozdíl mezi zastaralým pověřením a pravidlem firewallu.

Ověřte čtyři věci a pak to udělejte opakovatelným

Během pilotu zaznamenejte čtyři pozorování místo jednoho: událost připojení nastala, úloha začala, prostředek odpověděl a požadovaná změna skutečně proběhla. Pokud se záznam zastaví u začátku úlohy, skutečné selhání zůstane neviditelné, ať čekáte jakkoli dlouho. Pak spusťte gpresult /scope user /v, abyste viděli, jakou politiku si relace myslí, že má, a porovnejte to s nastavením, které jste očekávali. Zpráva, která uvádí GPO jako aplikované, stále nic neříká o mapování.

Než práci rozšíříte, udělejte ji bezpečnou k opakování, protože klient se znovu připojí a úloha se spustí znovu. Před vytvořením zkontrolujte, zda mapování nebo konfigurace už existuje, a poznamenejte, co jste našli. Zdvojení práce po každém krátkém opětovném připojení je způsob, jak se užitečná úloha změní v incident.

Kde je automatický spouštěč nevhodný, schválená akce uživatele, která spustí stejný podepsaný skript, je legitimní návrh. Činí časování explicitním, místo aby předstírala, že nastala událost přihlášení.