Bootstrap vagy GPO: két út egy Windows VPN-profilhoz
A GPO-val terjesztett profil nem lehet az egyetlen út ahhoz a megosztáshoz, amely terjeszti. Válassza szét az első telepítést a rutinszerű frissítéstől, és verziózza együtt a kettőt.
Toljon ki egy VPN-profilt egy tartományi megosztásból, és minden működik – egészen addig a laptopig, amely nem éri el a tartományt. Ekkor a szállítás épp attól a kapcsolattól függ, amelynek létrehozásáért a profil létezik. A laptopot tartó ember olyan helyen van, ahonnan a helpdesk nem lát. Kezelje az első telepítést és a rutinszerű frissítést két külön útként egy csomagon belül, mert olyan módokon hibáznak, amelyeknek semmi közük egymáshoz.
Az első telepítés más probléma
Két esemény számít, és csak az egyik történik meg, miközben a hálózat együttműködik. A táblázat aszerint választja szét őket, mi elérhető, mi indítja el a munkát, és hogyan szokott elromlani.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Egy átnézett összetevő kiszolgálhatja mindkét utat; a kapcsolódásról szóló feltételezést nem lehet megosztani. Egy indítószkript elrejti ezt a feltételezést, amíg a vállalati hálózat egy asztalán fut, és a terepen leleplezi. A szkript nem hibás, csak olyan helyen kérik futtatni, ahová senki nem tervezte.
Mit kell tartalmaznia a csomagnak
Csomagolás előtt döntsön öt dologban: melyik Windows-profilmechanizmus támogatott, hogy a hatókör felhasználóra vagy eszközre szól, mely tanúsítványok vagy kliens-összetevők előfeltételek, mit mond a profildefiníció, és mely művelet alkalmazza. A ProfileXML a VPN-beállítások kifejezésének támogatott módja, amelyet a VPNv2 CSP szállít, és a Microsoft profilbeállítási útmutatója felsorolja, mit tartalmazhat. Minden, ami ezen a listán kívül esik, menet közben hozott döntés.
Egy segédszkript paraméterei ahhoz a szkripthez tartoznak. Az olyan nevek, mint a xmlFilePath vagy a AllUserConnection, egy szerző választásai, nem pedig minden telepítő által betartott szabvány; átmásolásuk egy másik szkriptbe olyan parancsot ad, amely helyesnek látszik, és semmit nem tesz.
Tartsa a szkriptet és a definíciót egy verzió alatt, és vizsgálja meg, honnan származik mindkettő, a jogaikkal együtt. Egy kiváltságos indítószkript, amely véletlenül olvasható a SYSVOL-ból, még mindig nincs átvizsgálva, a házirenddel való terjesztés pedig nem átvizsgálás.
Az első kapcsolat megszerzése
Az első telepítés addig történik, amíg az eszköz más módon is elérhető: jóváhagyott hálózaton, meglévő felügyeleti csatornán vagy erre tervezett regisztrációs folyamaton keresztül. A választott hitelesítési módhoz tartozó tanúsítványok és bizalmi előfeltételek ugyanabba a csomagba tartoznak, mert egy még nem létező alagúton semmit nem lehet letölteni. Kérdezze meg, melyik a három csatorna közül valódi ennél a felhasználónál, mielőtt bárki dátumot ígér. A csak papíron létező csatorna telefonhívássá válik a terepről.
Írja le, mit tesz valójában a technikus vagy a felhasználó abban a pillanatban. Ha a válasz az, hogy az IT távolról csatlakozik, hogy segítsen, akkor az első telepítés útja csendben egy második távhozzáférési eszköztől függ, amelyet valakinek szintén biztosítania és támogatnia kell.
A frissítéseknek ismert állapot kell
Amint a gép eléri a tartományt, átveheti a szokásos tartományi vagy eszközkezelési folyamat. A hatókörnél szivárognak be a hibák, mert az indítószkript gépkörnyezetben fut, míg a felhasználói bejelentkezési művelet és az eszközkezelési művelet eltérhet hatókörben és jogosultságban is.
A minden felhasználóra érvényes kapcsolatbejegyzés nem bejelentkezés előtti eszközalagút, bármit sugalljanak is a nevek. Az eszközalagutak saját platform-, protokoll- és hitelesítőadat-követelményeket hordoznak, és e követelmények elolvasása az egyetlen módja annak, hogy tudjuk, lehetséges-e itt bejelentkezés előtti alagút. A bejelentkezéskor induló felhasználói alagút más garanciát ad.
Tegye ismételhetővé a frissítési utat: keresse meg a már felügyelt profilt, tartsa meg a szándékolt felhasználói beállításokat, alkalmazzon kompatibilis definíciót, és jelentsen világos eredményt. Minden házirend-frissítéskor új profil létrehozása az, amitől egy gép öt bejegyzéssel és egy rosszat választó felhasználóval végzi.
A nyilvántartás, amely fenntarthatóvá teszi
Három válasz tartozik az átadáshoz: hogyan kap első kapcsolatot egy újonnan kiadott eszköz, ki változtathatja a csomagot, és hogyan lép ki egy rendszergazda egy inkompatibilis változtatásból. Ha ezek le vannak írva, a bevezetés már nem függ olyantól, akinek már megvan a biztosítandó hozzáférés.
Tárolja ezt a nyilvántartást a csomagverzió mellett, és mindkettőt ugyanabban a változtatásban frissítse. Különben a következő ember egy évvel ezelőtt lezárt jegyből építi újra a bootstrap utat.