Bootstrap ou GPO: dous camiños para un perfil VPN de Windows
Un perfil distribuído por GPO non pode ser a única forma de chegar ao recurso compartido que o distribúe. Separe a primeira instalación da actualización habitual e versione ambas xuntas.
Envíe un perfil VPN desde un recurso compartido de dominio e todo funciona, ata o portátil que non pode chegar ao dominio. Nese momento a entrega depende xustamente da conexión que o perfil existe para crear. A persoa que ten ese portátil está nun lugar que o servizo de axuda non ve. Trate a primeira instalación e a actualización habitual como dous camiños separados dentro dun mesmo paquete, porque fallan de xeitos que non teñen nada en común.
A primeira instalación é un problema distinto
Importan dous acontecementos, e só un ocorre mentres a rede colabora. A táboa sepáraos polo que hai dispoñible, o que desencadea o traballo e como adoita saír mal.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Un artefacto revisado pode servir os dous camiños; a suposición sobre a conectividade non se pode compartir. Un script de inicio agocha esa suposición mentres se executa nun escritorio da rede corporativa, e déixaa ao descuberto no campo. O script non é defectuoso, só se lle pide executarse onde ninguén o deseñou.
Que debe conter o paquete
Decida cinco cousas antes de empaquetar: que mecanismo de perfil de Windows está admitido, se o ámbito é por usuario ou por dispositivo, que certificados ou compoñentes de cliente son requisitos previos, que di a definición do perfil e que acción a aplica. ProfileXML é a forma admitida de expresar a configuración de VPN, entregada mediante o CSP VPNv2, e a guía de opcións de perfil de Microsoft enumera o que pode conter. Todo o que quede fóra desa lista é unha decisión que toma sobre a marcha.
Os parámetros dun script auxiliar pertencen a ese script. Nomes como xmlFilePath ou AllUserConnection son eleccións dun autor e non un estándar que respecte cada instalador; copialos noutro script dá unha orde que parece correcta e non fai nada.
Manteña o script e a definición baixo unha soa versión, e audite de onde veñen ambos xunto cos seus permisos. Un script de inicio privilexiado que resulta lexible desde SYSVOL aínda non foi revisado, e distribuír por política non é unha revisión.
Conseguir a primeira conexión
A primeira instalación ocorre mentres o dispositivo aínda se pode alcanzar doutro xeito: unha rede aprobada, unha canle de xestión existente ou un fluxo de inscrición deseñado para isto. Os certificados e os requisitos de confianza do método de autenticación elixido pertencen a ese mesmo paquete, xa que nada se pode descargar por un túnel que aínda non existe. Pregunte cal destas tres canles é real para este usuario antes de que alguén prometa unha data. Unha canle que só existe no papel convértese nunha chamada desde o campo.
Escriba o que o técnico ou o usuario fai realmente nese momento. Se a resposta é que TI se conecta remotamente para axudar, entón o camiño da primeira instalación depende en silencio dunha segunda ferramenta de acceso remoto que alguén tamén ten que fornecer e manter.
As actualizacións necesitan un estado coñecido
Cando a máquina chega ao dominio, o proceso habitual de dominio ou de xestión de dispositivos pode tomar o relevo. É no ámbito onde se coan os erros, porque un script de inicio se executa en contexto de máquina, mentres que unha acción de inicio de sesión de usuario e unha acción de xestión de dispositivos poden diferir tanto en ámbito como en permisos.
Unha entrada de conexión para todos os usuarios non é un túnel de dispositivo previo ao inicio de sesión, digan o que digan os nomes. Os túneles de dispositivo levan os seus propios requisitos de plataforma, protocolo e credenciais, e ler eses requisitos é a única forma de saber se aquí é posible un túnel previo ao inicio de sesión. Un túnel de usuario que arrinca ao iniciar sesión ofrece unha garantía distinta.
Faga repetible o camiño de actualización: atope o perfil que xa está xestionado, conserve as preferencias de usuario previstas, aplique unha definición compatible e informe un resultado claro. Crear un perfil novo en cada actualización de política é como unha máquina acaba con cinco entradas e un usuario que escolle a incorrecta.
O rexistro que o mantén soportable
Tres respostas pertencen ao traspaso: como obtén a primeira conexión un dispositivo acabado de emitir, quen pode cambiar o paquete e como un administrador sae dun cambio incompatible. Con iso escrito, o despregamento xa non depende de alguén que xa ten o acceso que hai que aprovisionar.
Garde ese rexistro ao carón da versión do paquete e actualice ambos no mesmo cambio. Se non, a persoa seguinte reconstrúe o camiño de bootstrap a partir dun tícket pechado hai un ano.