Bootstrap eller GPO: to veje til en Windows-VPN-profil
En profil, der udrulles via GPO, kan ikke være den eneste vej til det share, der udruller den. Skil første installation fra rutinemæssig opdatering, og versionér begge sammen.
Skub en VPN-profil ud fra et domæneshare, og alt virker – lige indtil den bærbare, der ikke kan nå domænet. På det tidspunkt afhænger leveringen af netop den forbindelse, som profilen findes for at skabe. Personen med den bærbare sidder et sted, som helpdesken ikke kan se. Behandl første installation og rutinemæssig opdatering som to adskilte veje gennem én pakke, for de fejler på måder, der intet har til fælles.
Første installation er et andet problem
To begivenheder betyder noget, og kun én af dem sker, mens netværket samarbejder. Tabellen skelner dem efter, hvad der er tilgængeligt, hvad der udløser arbejdet, og hvordan det plejer at gå galt.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Én gennemgået artefakt kan tjene begge veje; antagelsen om forbindelse kan ikke deles. Et opstartsscript skjuler den antagelse, mens det kører på et skrivebord på virksomhedsnetværket, og afslører den i marken. Scriptet er ikke defekt, det bliver blot bedt om at køre der, hvor ingen har designet det til at køre.
Hvad pakken skal indeholde
Beslut fem ting, før du pakker: hvilken Windows-profilmekanisme der understøttes, om omfanget er pr. bruger eller pr. enhed, hvilke certifikater eller klientkomponenter der er forudsætninger, hvad profildefinitionen siger, og hvilken handling der anvender den. ProfileXML er den understøttede måde at udtrykke VPN-indstillinger på, leveret via VPNv2-CSP'en, og Microsofts vejledning i profilindstillinger viser, hvad den kan indeholde. Alt uden for den liste er en beslutning, du træffer på stedet.
Et hjælpescripts parametre tilhører det script. Navne som xmlFilePath eller AllUserConnection er én forfatters valg og ikke en standard, som enhver installer respekterer, og kopierer du dem til et andet script, får du en kommando, der ser rigtig ud og intet gør.
Hold script og definition under én version, og gennemgå, hvor begge kommer fra, sammen med deres tilladelser. Et privilegeret opstartsscript, der tilfældigvis kan læses fra SYSVOL, er stadig ikke gennemgået, og distribution via politik er ikke en gennemgang.
At få den første forbindelse
Den første installation sker, mens enheden stadig kan nås på en anden måde: et godkendt netværk, en eksisterende administrationskanal eller et tilmeldingsworkflow, der er designet til det. Certifikater og tillidsforudsætninger for den valgte godkendelsesmetode hører i samme pakke, for intet kan hentes gennem en tunnel, der ikke findes endnu. Spørg, hvilken af de tre kanaler der er reel for denne bruger, før nogen lover en dato. En kanal, der kun findes på papiret, bliver et telefonopkald fra marken.
Skriv ned, hvad teknikeren eller brugeren faktisk gør i det øjeblik. Hvis svaret er, at IT kobler på eksternt for at hjælpe, afhænger førsteinstallationsvejen i stilhed af et andet fjernadgangsværktøj, som nogen også skal skaffe og supportere.
Opdateringer kræver en kendt tilstand
Når maskinen når domænet, kan den almindelige domæne- eller enhedshåndteringsproces overtage. Det er i omfanget, fejlene sniger sig ind, for et opstartsscript kører i maskinkontekst, mens en brugerlogonhandling og en enhedshåndteringshandling kan afvige i både omfang og tilladelse.
En forbindelsespost for alle brugere er ikke en enhedstunnel før logon, uanset hvad navnene antyder. Enhedstunneler har deres egne krav til platform, protokol og legitimationsoplysninger, og at læse disse krav er den eneste måde at vide, om en tunnel før logon er mulig her. En brugertunnel, der starter ved logon, giver en anden garanti.
Gør opdateringsvejen gentagelig: find den profil, der allerede administreres, behold de tilsigtede brugerindstillinger, anvend en kompatibel definition, og rapportér et klart resultat. At oprette en ny profil ved hver politikopdatering er, hvordan en maskine ender med fem poster og en bruger, der vælger den forkerte.
Den registrering, der holder det understøtteligt
Tre svar hører til overdragelsen: hvordan en nyudleveret enhed får sin første forbindelse, hvem der må ændre pakken, og hvordan en administrator træder tilbage fra en inkompatibel ændring. Når de er skrevet ned, afhænger udrulningen ikke længere af nogen, der allerede har den adgang, der skal etableres.
Opbevar registreringen ved siden af pakkeversionen, og opdater begge i samme ændring. Ellers genopbygger den næste person bootstrap-vejen ud fra en ticket, der blev lukket for et år siden.