Bootstrap aŭ GPO: du vojoj al Windows-VPN-profilo
Profilo disigata per GPO ne povas esti la sola maniero atingi la kunuzatan dosierujon, kiu disigas ĝin. Apartigu la unuan instaladon de la rutina ĝisdatigo kaj versiigu ambaŭ kune.
Sendu VPN-profilo el domajna kunuzita dosierujo kaj ĉio funkcias, ĝis la tekkomputilo, kiu ne povas atingi la domajnon. En tiu momento la liverado dependas precize de la konekto, por kies kreado la profilo ekzistas. La persono kun tiu komputilo troviĝas ie, kie la subtena servo ne vidas. Traktu la unuan instaladon kaj la rutinan ĝisdatigon kiel du apartajn vojojn tra unu pako, ĉar ili malsukcesas laŭ manieroj, kiuj havas nenion komunan.
La unua instalado estas alia problemo
Gravas du eventoj, kaj nur unu el ili okazas dum la reto kunlaboras. La tabelo apartigas ilin laŭ tio, kio estas havebla, kio ekigas la laboron kaj kiel ĝi kutime misfunkcias.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Unu reviziita artefakto povas servi ambaŭ vojojn; la supozo pri konektebleco ne povas esti dividata. Ekiga skripto kaŝas tiun supozon dum ĝi ruliĝas sur skribotablo en la firmaa reto, kaj malkaŝas ĝin sur la kampo. La skripto ne estas difekta, oni simple petas ĝin ruliĝi tie, kie neniu projektis ĝin por ruliĝi.
Kion la pako devas enhavi
Decidu kvin aferojn antaŭ la pakado: kiu Windows-profila mekanismo estas subtenata, ĉu la amplekso estas por uzanto aŭ por aparato, kiuj atestiloj aŭ klientaj komponantoj estas antaŭkondiĉoj, kion diras la profila difino kaj kiu ago aplikas ĝin. ProfileXML estas la subtenata maniero esprimi VPN-agordojn, liverata per la CSP VPNv2, kaj la gvidilo de Microsoft pri profilaj opcioj listigas, kion ĝi povas enhavi. Ĉio ekster tiu listo estas decido, kiun vi faras surloke.
La parametroj de helposkripto apartenas al tiu skripto. Nomoj kiel xmlFilePath aŭ AllUserConnection estas elektoj de unu aŭtoro, ne normo, kiun respektas ĉiu instalilo; kopii ilin al alia skripto donas komandon, kiu aspektas ĝusta kaj faras nenion.
Tenu la skripton kaj la difinon sub unu versio, kaj kontrolu, de kie ambaŭ venas, kune kun iliaj permesoj. Privilegia ekiga skripto, kiu hazarde estas legebla el SYSVOL, ankoraŭ ne estis reviziita, kaj disdono per politiko ne estas revizio.
Kiel akiri la unuan konekton
La unua instalado okazas dum la aparato ankoraŭ estas atingebla alimaniere: per aprobita reto, ekzistanta administra kanalo aŭ registriĝa fluo kreita por tio. La atestiloj kaj fido-antaŭkondiĉoj por la elektita aŭtentikiga metodo apartenas al tiu sama pako, ĉar tra tunelo, kiu ankoraŭ ne ekzistas, oni povas elŝuti nenion. Demandi, kiu el tiuj tri kanaloj estas reala por ĉi tiu uzanto, antaŭ ol iu promesas daton. Kanalo, kiu ekzistas nur sur papero, fariĝas telefono el la kampo.
Skribu, kion la teknikisto aŭ la uzanto fakte faras en tiu momento. Se la respondo estas, ke la IT-kolego konektiĝas malproksime por helpi, tiam la vojo de la unua instalado silente dependas de dua ilo por malproksima aliro, kiun iu ankaŭ devas provizi kaj subteni.
Ĝisdatigoj bezonas konatan staton
Kiam la maŝino atingas la domajnon, la ordinara domajna aŭ aparata administra procezo povas transpreni. Eraroj enfiltriĝas en la amplekso, ĉar ekiga skripto ruliĝas en maŝina kunteksto, dum uzanta ensaluta ago kaj aparata administra ago povas diferenci kaj laŭ amplekso kaj laŭ permesoj.
Konekta ero por ĉiuj uzantoj ne estas aparata tunelo antaŭ ensaluto, kion ajn sugestas la nomoj. Aparataj tuneloj portas proprajn postulateojn pri platformo, protokolo kaj legitimiloj, kaj legi tiujn postulateojn estas la sola maniero scii, ĉu tunelo antaŭ ensaluto eblas ĉi tie. Uzanta tunelo, kiu komenciĝas ĉe ensaluto, ofertas alian garantion.
Faru la ĝisdatigan vojon ripetebla: trovu la profilon, kiu jam estas administrata, konservu la celitajn uzantajn preferojn, apliku kongruan difinon kaj raportu klaran rezulton. Krei novan profilon ĉe ĉiu politika refreŝigo estas la maniero, kiel maŝino finiĝas kun kvin eroj kaj uzanto, kiu elektas la malĝustan.
La registro, kiu tenas ĝin subtenebla
Tri respondoj apartenas al la transdono: kiel nove eldonita aparato akiras sian unuan konekton, kiu rajtas ŝanĝi la pakon kaj kiel administranto retiriĝas el malcongrua ŝanĝo. Kiam tiuj estas skribitaj, la disfaldiĝo ne plu dependas de iu, kiu jam havas la aliron, kiu devas esti provizita.
Konservu tiun registron apud la paka versio kaj ĝisdatigu ambaŭ en la sama ŝanĝo. Alie la sekva persono rekonstruas la bootstrap-vojon el bileto, kiu fermiĝis antaŭ jaro.