Bootstrap oder GPO: Zwei Wege zum Windows-VPN-Profil
Ein per GPO verteiltes Profil darf nicht der einzige Weg zur Freigabe sein, über die es verteilt wird. Trennen Sie Erstinstallation und Routine-Update und versionieren Sie beides gemeinsam.
Ein VPN-Profil von einer Domänenfreigabe aus verteilen – und alles funktioniert, bis zu dem Laptop, der die Domäne nicht erreicht. Dann hängt die Zustellung genau von der Verbindung ab, für die das Profil eigentlich gedacht ist. Die Person mit diesem Laptop sitzt irgendwo, wo der Helpdesk sie nicht sieht. Behandeln Sie Erstinstallation und Routine-Update als zwei getrennte Wege durch ein Paket, denn die beiden scheitern auf völlig unterschiedliche Weise.
Die Erstinstallation ist ein anderes Problem
Zwei Ereignisse zählen, und nur eines davon passiert, während das Netz mitspielt. Die Tabelle trennt sie danach, was verfügbar ist, was die Arbeit auslöst und wie es üblicherweise schiefgeht.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Ein geprüftes Artefakt kann beide Wege bedienen; die Annahme über die Konnektivität lässt sich nicht teilen. Ein Startskript verbirgt diese Annahme, solange es an einem Schreibtisch im Firmennetz läuft, und legt sie im Außendienst offen. Das Skript ist nicht defekt, es soll nur dort laufen, wo niemand es vorgesehen hat.
Was das Paket enthalten muss
Fünf Dinge sind vor dem Paketieren zu entscheiden: welcher Windows-Profilmechanismus unterstützt wird, ob der Geltungsbereich pro Benutzer oder pro Gerät gilt, welche Zertifikate oder Clientkomponenten Voraussetzung sind, was die Profildefinition aussagt und welche Aktion sie anwendet. ProfileXML ist der unterstützte Weg, VPN-Einstellungen auszudrücken, geliefert über den VPNv2-CSP, und Microsofts Leitfaden zu den Profiloptionen listet, was darin Platz findet. Alles außerhalb dieser Liste ist eine Entscheidung, die Sie spontan treffen.
Parameter eines Hilfsskripts gehören zu diesem Hilfsskript. Namen wie xmlFilePath oder AllUserConnection sind die Wahl eines Autors und kein Standard, den jeder Installer einhält; wer sie in ein anderes Skript kopiert, erhält einen Befehl, der richtig aussieht und nichts bewirkt.
Halten Sie Skript und Definition in einer Version und prüfen Sie Herkunft und Berechtigungen beider. Ein privilegiertes Startskript, das zufällig aus SYSVOL lesbar ist, ist damit noch nicht geprüft, und die Verteilung per Richtlinie ist keine Prüfung.
Die erste Verbindung herstellen
Die Erstinstallation findet statt, solange das Gerät noch auf einem anderen Weg erreichbar ist: ein freigegebenes Netz, ein bestehender Managementkanal oder ein dafür entworfenes Enrollment-Verfahren. Zertifikate und Vertrauensvoraussetzungen für das gewählte Authentifizierungsverfahren gehören in dasselbe Paket, denn über einen Tunnel, den es noch nicht gibt, lässt sich nichts nachladen. Fragen Sie, welcher dieser drei Kanäle für diesen Nutzer real ist, bevor jemand einen Termin zusagt. Ein Kanal, der nur auf dem Papier besteht, wird zum Anruf aus dem Außendienst.
Schreiben Sie auf, was der Techniker oder der Nutzer in diesem Moment tatsächlich tut. Lautet die Antwort, dass sich die IT remote aufschaltet, dann hängt der Erstinstallationsweg still von einem zweiten Fernzugriffswerkzeug ab, das ebenfalls bereitgestellt und betreut werden muss.
Updates brauchen einen bekannten Zustand
Sobald die Maschine die Domäne erreicht, kann der gewohnte Domänen- oder Geräteverwaltungsprozess übernehmen. Beim Geltungsbereich schleichen sich Fehler ein, denn ein Startskript läuft im Maschinenkontext, während eine Benutzeranmeldungsaktion und eine Geräteverwaltungsaktion sich in Umfang und Berechtigung unterscheiden können.
Ein All-User-Verbindungseintrag ist kein Pre-Login-Gerätetunnel, was die Namen auch nahelegen. Gerätetunnel bringen eigene Anforderungen an Plattform, Protokoll und Anmeldedaten mit, und diese Anforderungen zu lesen ist der einzige Weg zu wissen, ob hier ein Pre-Login-Tunnel möglich ist. Ein Benutzertunnel, der bei der Anmeldung startet, bietet eine andere Garantie.
Machen Sie den Update-Weg wiederholbar: das bereits verwaltete Profil finden, die beabsichtigten Benutzereinstellungen erhalten, eine kompatible Definition anwenden und ein klares Ergebnis melden. Bei jeder Richtlinienaktualisierung ein neues Profil anzulegen führt dazu, dass eine Maschine fünf Einträge hat und der Nutzer den falschen wählt.
Der Nachweis, der es wartbar hält
Drei Antworten gehören in die Übergabe: wie ein neu ausgegebenes Gerät seine erste Verbindung erhält, wer das Paket ändern darf und wie ein Administrator eine inkompatible Änderung zurücknimmt. Sind diese Punkte notiert, hängt der Rollout nicht mehr von jemandem ab, der bereits über den Zugang verfügt.
Legen Sie diesen Nachweis neben die Paketversion und aktualisieren Sie beides in derselben Änderung. Sonst baut die nächste Person den Bootstrap-Weg aus einem Ticket neu auf, das vor einem Jahr geschlossen wurde.