Bootstrap vai GPO: kaksi polkua Windowsin VPN-profiiliin
GPO:n kautta jaeltava profiili ei voi olla ainoa tapa päästä siihen jakoon, joka sen jakaa. Erota ensiasennus rutiinipäivityksestä ja versioi molemmat yhdessä.
Työnnä VPN-profiili toimialueen jaosta, ja kaikki toimii – aina siihen kannettavaan, joka ei tavoita toimialuetta. Silloin toimitus riippuu juuri siitä yhteydestä, jonka luomiseksi profiili on olemassa. Sen kannettavan haltija on jossain, missä tukipalvelu ei näe. Käsittele ensiasennusta ja rutiinipäivitystä kahtena erillisenä polkuna yhden paketin läpi, koska ne epäonnistuvat tavoilla, joilla ei ole mitään yhteistä.
Ensiasennus on eri ongelma
Merkitystä on kahdella tapahtumalla, ja vain toinen niistä tapahtuu, kun verkko toimii mukana. Taulukko erottaa ne sen mukaan, mitä on saatavilla, mikä käynnistää työn ja miten se yleensä menee pieleen.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Yksi tarkistettu artefakti voi palvella molempia polkuja; oletusta yhteydestä ei voi jakaa. Käynnistyskomentosarja piilottaa tämän oletuksen niin kauan kuin se ajetaan yritysverkon työpöydällä, ja paljastaa sen kentällä. Komentosarja ei ole viallinen, sitä vain pyydetään ajamaan siellä, minne kukaan ei sitä suunnitellut.
Mitä paketin on sisällettävä
Päätä viisi asiaa ennen pakkaamista: mitä Windowsin profiilimekanismia tuetaan, onko laajuus käyttäjä- vai laitekohtainen, mitkä varmenteet tai asiakasohjelmakomponentit ovat edellytyksiä, mitä profiilin määritelmä sanoo ja mikä toiminto sen ottaa käyttöön. ProfileXML on tuettu tapa ilmaista VPN-asetukset, toimitetaan VPNv2-CSP:n kautta, ja Microsoftin profiilivalintojen opas luettelee, mitä se voi sisältää. Kaikki tämän luettelon ulkopuolella on päätös, jonka teet lennossa.
Apukomentosarjan parametrit kuuluvat sille komentosarjalle. Nimet kuten xmlFilePath tai AllUserConnection ovat yhden tekijän valintoja, eivät standardi, jota jokainen asentaja noudattaa; niiden kopioiminen toiseen komentosarjaan antaa komennon, joka näyttää oikealta eikä tee mitään.
Pidä komentosarja ja määritelmä yhden version alla ja tarkista, mistä molemmat tulevat, yhdessä niiden oikeuksien kanssa. Käynnistyskomentosarja, jolla on kohonneet oikeudet ja joka sattuu olemaan luettavissa SYSVOLista, ei silti ole tarkistettu, eikä käytännön kautta jakelu ole tarkistus.
Ensimmäisen yhteyden saaminen
Ensiasennus tapahtuu, kun laite on vielä tavoitettavissa muulla tavoin: hyväksytyn verkon, olemassa olevan hallintakanavan tai tätä varten suunnitellun rekisteröintiprosessin kautta. Valitun todennusmenetelmän varmenteet ja luottamusvaatimukset kuuluvat samaan pakettiin, koska tunnelia, jota ei vielä ole, pitkin ei voi noutaa mitään. Kysy, mikä näistä kolmesta kanavasta on tälle käyttäjälle todellinen, ennen kuin kukaan lupaa päivämäärän. Vain paperilla oleva kanava muuttuu puheluksi kentältä.
Kirjoita ylös, mitä teknikko tai käyttäjä tuolla hetkellä todella tekee. Jos vastaus on, että IT yhdistää etänä auttaakseen, niin ensiasennuksen polku riippuu hiljaa toisesta etäkäyttötyökalusta, joka jonkun on myös hankittava ja tuettava.
Päivitykset tarvitsevat tunnetun tilan
Kun kone tavoittaa toimialueen, tavallinen toimialue- tai laitehallintaprosessi voi ottaa vastuun. Virheet hiipivät laajuuteen, koska käynnistyskomentosarja ajetaan koneen kontekstissa, kun taas käyttäjän kirjautumistoiminto ja laitehallintatoiminto voivat erota sekä laajuudeltaan että oikeuksiltaan.
Kaikkien käyttäjien yhteysmerkintä ei ole ennen kirjautumista toimiva laitetunneli, mitä nimet sitten vihjaavatkaan. Laitetunneleilla on omat alustaa, protokollaa ja tunnistetietoja koskevat vaatimuksensa, ja näiden vaatimusten lukeminen on ainoa tapa tietää, onko ennen kirjautumista toimiva tunneli täällä mahdollinen. Kirjautumisen yhteydessä käynnistyvä käyttäjätunneli tarjoaa erilaisen takeen.
Tee päivityspolusta toistettava: etsi profiili, jota jo hallitaan, säilytä tarkoitetut käyttäjäasetukset, ota käyttöön yhteensopiva määritelmä ja raportoi selkeä tulos. Uuden profiilin luominen jokaisella käytäntöpäivityksellä on se, miten koneelle jää viisi merkintää ja käyttäjä, joka valitsee väärän.
Tietue, joka pitää sen ylläpidettävänä
Luovutukseen kuuluu kolme vastausta: miten vastikään luovutettu laite saa ensimmäisen yhteytensä, kuka saa muuttaa pakettia ja miten järjestelmänvalvoja perääntyy yhteensopimattomasta muutoksesta. Kun ne on kirjoitettu, käyttöönotto ei enää riipu jostakusta, jolla on jo se pääsy, joka pitää järjestää.
Säilytä tietue paketin version vieressä ja päivitä molemmat samassa muutoksessa. Muuten seuraava henkilö rakentaa bootstrap-polun uudelleen lipusta, joka suljettiin vuosi sitten.