Bootstrap või GPO: kaks teed Windowsi VPN-profiilini
GPO kaudu levitatav profiil ei saa olla ainus viis jõuda jagatud kaustani, mis seda levitab. Eraldage esmane paigaldus tavalisest uuendusest ja versioonige mõlemat koos.
Lükake VPN-profiil domeeni jagatud kaustast välja ja kõik töötab – kuni sülearvutini, mis domeenini ei jõua. Sel hetkel sõltub tarne täpselt sellest ühendusest, mille loomiseks profiil olemas on. Selle sülearvuti omanik on kuskil, kuhu kasutajatugi ei näe. Käsitlege esmast paigaldust ja tavalist uuendust kahe eraldi teekonnana läbi ühe paketi, sest need ebaõnnestuvad viisil, millel pole midagi ühist.
Esmapaigaldus on teine probleem
Loeb kaks sündmust ja ainult üks neist juhtub siis, kui võrk kaasa töötab. Tabel eraldab need selle järgi, mis on saadaval, mis töö käivitab ja kuidas see tavaliselt untsu läheb.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Üks üle vaadatud artefakt saab teenida mõlemat teekonda; eeldust ühenduvuse kohta jagada ei saa. Käivituskript peidab selle eelduse seni, kuni töötab ettevõtte võrgu laual, ja paljastab selle väljas. Kript ei ole vigane, lihtsalt palutakse sellel töötada seal, kuhu keegi seda projekteerinud pole.
Mida pakett peab sisaldama
Enne pakkimist otsustage viis asja: millist Windowsi profiilimehhanismi toetatakse, kas ulatus on kasutaja või seadme kaupa, millised sertifikaadid või kliendikomponendid on eeltingimused, mida profiilidefinitsioon ütleb ja milline toiming seda rakendab. ProfileXML on toetatud viis VPN-i seadete väljendamiseks, mida edastatakse VPNv2 CSP kaudu, ja Microsofti profiilivalikute juhend loetleb, mida see sisaldada võib. Kõik väljaspool seda loendit on otsus, mille teete käigu pealt.
Abiskripti parameetrid kuuluvad sellele skriptile. Nimed nagu xmlFilePath või AllUserConnection on ühe autori valikud, mitte standard, mida iga paigaldaja järgib; nende kopeerimine teise skripti annab käsu, mis näeb õige välja ja ei tee midagi.
Hoidke skript ja definitsioon ühe versiooni all ning kontrollige, kust mõlemad pärinevad, koos nende õigustega. Privilegeeritud käivituskript, mis juhtub olema SYSVOL-ist loetav, on ikkagi üle vaatamata, ja poliitikaga levitamine ei ole ülevaatus.
Esimese ühenduse saamine
Esmapaigaldus toimub seni, kuni seade on veel muul viisil kättesaadav: heakskiidetud võrgu, olemasoleva halduskanali või selleks loodud registreerimisvoo kaudu. Valitud autentimismeetodi sertifikaadid ja usalduse eeltingimused kuuluvad samasse paketti, sest veel olematu tunneliga ei saa midagi alla laadida. Küsige enne, kui keegi kuupäeva lubab, milline neist kolmest kanalist on selle kasutaja jaoks tegelik. Ainult paberil eksisteeriv kanal muutub väljakutseks väljalt.
Kirjutage üles, mida tehnik või kasutaja sel hetkel tegelikult teeb. Kui vastus on, et IT ühendub kaugjuhtimisega, et aidata, siis sõltub esmase paigalduse tee vaikselt teisest kaugjuurdepääsuvahendist, mille peab keegi samuti hankima ja toetama.
Uuendused vajavad teadaolevat olekut
Kui masin jõuab domeeni, saab üle võtta tavaline domeeni- või seadmehaldusprotsess. Vead hiilivad sisse ulatuses, sest käivituskript töötab masina kontekstis, samas kui kasutaja sisselogimistoiming ja seadmehaldustoiming võivad erineda nii ulatuselt kui ka õigustelt.
Kõigile kasutajatele mõeldud ühenduskirje ei ole enne sisselogimist toimiv seadmetunnel, mida iganes nimed vihjavad. Seadmetunnelitel on oma platvormi-, protokolli- ja mandaadininõuded ning nende nõuete lugemine on ainus viis teada, kas enne sisselogimist toimiv tunnel on siin võimalik. Sisselogimisel algav kasutajatunnel pakub teistsugust tagatist.
Tehke uuendustee korratavaks: leidke juba hallatav profiil, säilitage kavandatud kasutajaeelistused, rakendage ühilduv definitsioon ja teatage selge tulemus. Uue profiili loomine iga poliitikavärskenduse järel on viis, kuidas masin jääb viie kirjega ja kasutajaga, kes valib vale.
Kirje, mis hoiab selle hooldatavana
Üleandmisse kuulub kolm vastust: kuidas vastselt väljastatud seade saab esimese ühenduse, kes tohib paketti muuta ja kuidas administraator mitteühilduvast muudatusest taganeb. Kui need on kirjas, ei sõltu juurutamine enam kellestki, kellel on juba juurdepääs, mida tuleb tagada.
Hoidke see kirje paketi versiooni kõrval ja uuendage mõlemat samas muudatuses. Muidu ehitab järgmine inimene bootstrap-tee uuesti üles aasta tagasi suletud piletist.