VPN-iga ühendamine ei korda sinu sisselogimisskripti

Sinu kasutaja logib kodus sisse, ühendab VPN-iga ja ootab kettajoomist, mis varem kontoris iseenesest ilmus. Tunnel tõuseb, domeen vastab ja midagi ei kaardistata. Midagi pole katki: sisselogimisskript jookseb sisselogimisel, ja tunnel, mis avatakse kakskümmend minutit pärast seansi algust, ei ole sisselogimine. Nende kahe lugemine sama sündmusena saadab inimesed otsima VPN-i riket, mida ei ole olemas.

Neli otsust muudavad üllatuse korralikult käituvaks töövooks, ja esimene on lihtsalt teadmine, millistel sündmustel skript sõidab.

Skriptid sõidavad elutsükli sündmustel, mida ei saa korrata

Arvutipoolne poliitika rakendub masina käivitamisel ja kasutajapoolne poliitika sisselogimisel, samal ajal kui taustavärskendus läbib samu seadeid ilma midagi uuesti käivitamata. See värskendus töötleb skriptide laiendit, kuid ei käivita üksikuid skripte uuesti, mis käivituvad ainult alglaadimisel, väljalülitamisel, sisselogimisel või väljalogimisel. Seega võib gpupdate /force teatada edust, kui kaardistus ikka puudub, ja puhas värskendus ei ole tõestus, et skript midagi tegi.

Microsofti poliitika töötlemise viide tõmbab täpselt selle piiri laiendi töötlemise ja selle sisu käivitamise vahele, ja see on lehekülg, millele viidata, kui keegi väidab, et värskendus oleks pidanud skripti kordama.

Iga skript ei ebaõnnestu ka võrguühenduseta. See, mis loeb ainult kohalikku või vahemällu salvestatud materjali, võis osaliselt õnnestuda, samas kui see, mis puudutab jagatud ressursi, ebaõnnestub vaikselt ja ei jäta ilmset jälge. Kontrolli skripti tegelikku teed ja seda, milleni see ulatub, enne kui võrku süüdistad. Sama kontroll kuulub igale väitele, et skript ei jookse sisselogimisel, sest planeeritud ülesanne või kliendi tegevus võib tööd teha seal, kuhu keegi ei vaata.

Seo töö ühendusega, mitte sisselogimisega

Fraasi sisselogimisskript taga peidab end kolm erinevat tööd: ketta kaardistamine pärast seda, kui kasutaja ühendub, masina konfiguratsiooni rakendamine enne, kui keegi sisse logib, ja värskendatud poliitika toomine. Neil on erinevad tähtajad, ja ainult teine vajab tõesti ühenduvust enne sisselogimist. Kirjuta nõue lausena, milles on tähtaeg, näiteks: see kaardistus peab olema olemas minuti jooksul pärast tunneli tõusmist.

Töö jaoks, mis peab toimuma pärast ühendust, kasuta ühendusest käivituvat ülesannet või ühendustegevust, mida klient toetab. Kontrolli, millist sündmust klient tegelikult väljastab, sest sündmust, mille tõstab Windowsi natiivne VPN-klient, ei tõsta kolmanda osapoole klient. Masina konfiguratsiooni jaoks, mis peab eelnema sisselogimisele, on toetatud vastus seadme tunnel või muu sisselogimiseelne lahendus, mitte ülesanne, mis käivitub töölaua ilmumisel. Käivita töö identiteedis ja seansis, mis seda vajavad, sest SYSTEM-ina loodud kaardistus maandub seansis, mida kasutaja kunagi ei näe.

Testi valmisolekut enne tegutsemist ja ebaõnnestu valjult

Ühenduse sündmus võib saabuda enne, kui DNS või failiserver on kasutatav, seega peaks ülesanne testima seda, mida vajab, mitte eeldama. Lahenda konkreetne nimi, proovi konkreetset ühendust ja korda piiri ja viivitusega: Resolve-DnsName files.corp.example lühikeses tsüklis eristab veel-mitte kunagi-mitte-st. Teata pärast viimast katset konkreetsest rikkest, milles on nimi ja viga.

Lõputu tsükkel ilma logita on eristamatu ülesandest, mis kunagi ei alanud, ja see varjab erinevust aegunud mandaadi ja tulemüürireegli vahel.

Kontrolli nelja asja, seejärel tee see korratavaks

Piloodi ajal registreeri neli vaatlust ühe asemel: ühenduse sündmus toimus, ülesanne algas, ressurss vastas ja soovitud muudatus jõustus tegelikult. Kui logi peatub kohas ülesanne algas, jääb tegelik rike nähtamatuks, ükskõik kui kaua ootad. Seejärel käivita gpresult /scope user /v, et näha, milliseks seanss oma poliitikat peab, ja võrdle seda oodatud seadega. Aruanne, mis loetleb GPO rakendatuna, ei ütle ikka veel kaardistuse kohta midagi.

Tee töö enne laiendamist ohutuks korrata, sest klient ühendub uuesti ja ülesanne käivitub jälle. Enne loomist kontrolli olemasolevat kaardistust või konfiguratsiooni ja pane kirja, mille leidsid. Dubleeritud töö pärast iga lühiajalist taasthendust on viis, kuidas kasulikust ülesandest saab intsident.

Kui automaatne päästik ei sobi, on heakskiidetud kasutajategevus, mis käivitab sama allkirjastatud skripti, õiguspärane lahendus. See teeb ajastuse selgesõnaliseks, selle asemel et teeselda, nagu oleks sisselogimissündmus aset leidnud.