Ένα αντιγραμμένο rasphone.pbk έσβησε τα άλλα VPN σε επίπεδο συστήματος

Το νέο VPN εμφανίστηκε, η αυθεντικοποίηση λειτούργησε, και ένα VPN τρίτου κατασκευαστή που ζούσε στο μηχάνημα δύο χρόνια εξαφανίστηκε στην ίδια επανεκκίνηση. Τίποτα στο αρχείο καταγραφής ανάπτυξης δεν το ανέφερε, γιατί τίποτα στην ανάπτυξη δεν το αντιμετώπιζε. Το πακέτο είχε αντικαταστήσει το καθολικό βιβλίο τηλεφώνου, και η άλλη σύνδεση ήταν μια καταχώριση σε εκείνο το αρχείο. Αυτή είναι μια λειτουργία αντιγραφής που συμπεριφέρεται ακριβώς όπως πρέπει να συμπεριφέρεται μια λειτουργία αντιγραφής.

Η λύση δεν είναι μια καλύτερη αντιγραφή. Είναι να μην αντιγράψετε το αρχείο.

Τι περιέχει στην πραγματικότητα το βιβλίο τηλεφώνου

Ένα βιβλίο τηλεφώνου είναι ένα δοχείο ορισμών συνδέσεων, όχι ένα προφίλ. Οι καταχωρίσεις ανά χρήστη ζουν κάτω από το προφίλ χρήστη, και οι καταχωρίσεις για όλους τους χρήστες ζουν κάτω από τη διαδρομή ProgramData σε επίπεδο μηχανήματος, γι' αυτό μια ανάπτυξη που γράφει εκείνο το αρχείο αγγίζει κάθε τοπικό χρήστη ταυτόχρονα. Το ίδιο αρχείο φέρει και καταχωρίσεις που δημιούργησαν άλλοι προμηθευτές, και από εκεί προέρχεται η παράπλευρη ζημιά.

Ούτε ο ορισμός σύνδεσης είναι η όλη ιστορία. Διαδρομές, πολιτική DNS, υλικό έμπιστου CA και ταυτότητα παρέχονται από ξεχωριστούς ιδιοκτήτες.

Βρείτε ποια εμβέλεια κατέχει το προφίλ

Καταγράψτε και τις δύο εμβέλειες πριν γράψετε οτιδήποτε. Get-VpnConnection επιστρέφει τις καταχωρίσεις του τρέχοντος χρήστη και Get-VpnConnection -AllUserConnection επιστρέφει εκείνες σε επίπεδο μηχανήματος, και το ίδιο όνομα μπορεί να υπάρχει και στα δύο με διαφορετικές ρυθμίσεις. Αποφασίστε ποια εμβέλεια κατέχει η ανάπτυξή σας και γράψτε την, γιατί η ενημέρωση της λάθος εμβέλειας αφήνει τον χρήστη να συνδέεται μέσω του παλιού προφίλ ενώ η αλλαγή σας κάθεται σε ένα αρχείο που κανείς δεν διαβάζει. Μια προγραμματισμένη εργασία που εκτελείται ως SYSTEM βλέπει επίσης διαφορετικό σύνολο προφίλ από τον συνδεδεμένο χρήστη.

Το να ονομάσετε τον ιδιοκτήτη είναι το βήμα που σταματά τον επόμενο μηχανικό από το να επαναλάβει την αντιγραφή ολόκληρου του αρχείου.

Δημιουργήστε ή ενημερώστε την επώνυμη σύνδεση, τίποτα άλλο

Για ένα γηγενές προφίλ Windows, το Add-VpnConnection δημιουργεί μία καταχώριση, και το -AllUserConnection επιλέγει την εμβέλεια σε επίπεδο μηχανήματος. Εκτελέστε το πρώτα με -WhatIf, ώστε η προεπισκόπηση να καταλήξει στο αρχείο καταγραφής σας αντί σε παράπονο χρήστη:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

Το EAP XML πρέπει να προέρχεται από κάπου νόμιμα: εξαγόμενο από ένα λειτουργικό προφίλ αναφοράς, ή παραγόμενο από τα εργαλεία διαχείρισής σας για την πραγματική πύλη. Χωρίς σωστές ρυθμίσεις εμπιστοσύνης διακομιστή, το προφίλ είτε συνδέεται με το λάθος πράγμα είτε αποτυγχάνει παντού, και κανένα από τα δύο δεν είναι επιτυχής ανάπτυξη.

Όταν η καταχώριση υπάρχει ήδη, συγκρίνετε τις ρυθμίσεις της και ενημερώστε την με Set-VpnConnection αντί να τη διαγράψετε και να τη δημιουργήσετε ξανά. Η διαγραφή είναι ο τρόπος με τον οποίο μια λειτουργική διαμόρφωση χάνει πεδία που κανείς δεν τεκμηρίωσε, και ο τρόπος με τον οποίο άσχετες καταχωρίσεις πιάνονται σε έναν ευρύ καθαρισμό.

Ελέγξτε για ένα δεύτερο σύστημα διαχείρισης που θα επαναφέρει το παλιό προφίλ στην επόμενη ανανέωση πολιτικής. Οι δοκιμές αποτυγχάνουν εδώ συχνότερα παρά στο cmdlet.

Δοκιμάστε σε μηχάνημα που έχει ήδη άλλο VPN

Διαλέξτε μηχάνημα δοκιμής με άσχετη καταχώριση σε επίπεδο μηχανήματος, αναπτύξτε, και μετά επαληθεύστε τρία πράγματα: το νέο προφίλ εμφανίζεται στην προβλεπόμενη εμβέλεια, η αυθεντικοποίηση φτάνει σε ιδιωτικό πόρο, και η άσχετη καταχώριση συνδέεται ακόμη. Αναπτύξτε άλλες δύο φορές και επιβεβαιώστε ότι η δεύτερη εκτέλεση αλλάζει μόνο το προφίλ που κατέχει. Αυτός ο τρίτος έλεγχος πιάνει ένα πακέτο που είναι αδιάφορο για τη δική του καταχώριση και καταστροφικό για όλα τα άλλα.

Η αφαίρεση ακολουθεί τον ίδιο κανόνα: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection αποσύρει μία καταχώριση και αφήνει το υπόλοιπο αρχείο ήσυχο.

Κρατήστε την προηγούμενη προβλεπόμενη διαμόρφωση διαθέσιμη, ώστε μια περιορισμένη επαναφορά να σημαίνει επανεισαγωγή ενός προφίλ αντί για αποκατάσταση ολόκληρης της κατάστασης του μηχανήματος.