Bootstrap atau GPO: Dua Jalur untuk Profil VPN Windows
Profil yang dikirim lewat GPO tidak boleh menjadi satu-satunya cara mencapai share yang mengirimkannya. Pisahkan instalasi pertama dari pembaruan rutin, dan versikan keduanya bersama.
Kirim profil VPN dari share domain dan semuanya berjalan, sampai pada laptop yang tidak dapat menjangkau domain. Pada titik itu pengiriman bergantung pada koneksi yang justru ingin dibuat oleh profil tersebut. Orang yang memegang laptop itu berada di tempat yang tidak terlihat oleh help desk. Perlakukan instalasi pertama dan pembaruan rutin sebagai dua jalur terpisah dalam satu paket, karena keduanya gagal dengan cara yang tidak ada kesamaannya.
Instalasi pertama adalah masalah yang berbeda
Ada dua peristiwa yang penting, dan hanya satu yang terjadi saat jaringan bekerja sama. Tabel memisahkannya menurut apa yang tersedia, apa yang memicu pekerjaan, dan bagaimana biasanya gagal.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Satu artefak yang ditinjau dapat melayani kedua jalur; asumsi tentang konektivitas tidak dapat dibagi. Skrip awal menyembunyikan asumsi itu selama berjalan di meja dalam jaringan perusahaan, dan menelanjanginya di lapangan. Skrip itu tidak cacat, hanya diminta berjalan di tempat yang tidak dirancang oleh siapa pun.
Apa yang harus ada di dalam paket
Putuskan lima hal sebelum mengemas: mekanisme profil Windows mana yang didukung, apakah cakupannya per pengguna atau per perangkat, sertifikat atau komponen klien mana yang menjadi prasyarat, apa isi definisi profil, dan tindakan mana yang menerapkannya. ProfileXML adalah cara yang didukung untuk menyatakan pengaturan VPN, dikirim melalui CSP VPNv2, dan panduan opsi profil Microsoft mencantumkan apa yang dapat dimuatnya. Apa pun di luar daftar itu adalah keputusan yang Anda ambil saat itu juga.
Parameter skrip pembantu milik skrip itu. Nama seperti xmlFilePath atau AllUserConnection adalah pilihan satu penulis, bukan standar yang dipatuhi setiap penginstal; menyalinnya ke skrip lain menghasilkan perintah yang tampak benar dan tidak melakukan apa pun.
Jaga skrip dan definisi dalam satu versi, dan audit dari mana keduanya berasal beserta izinnya. Skrip awal dengan hak istimewa yang kebetulan dapat dibaca dari SYSVOL tetap belum ditinjau, dan distribusi lewat kebijakan bukanlah peninjauan.
Mendapatkan koneksi pertama
Instalasi pertama terjadi selagi perangkat masih dapat dijangkau dengan cara lain: jaringan yang disetujui, kanal manajemen yang sudah ada, atau alur pendaftaran yang dirancang untuk ini. Sertifikat dan prasyarat kepercayaan untuk metode autentikasi yang dipilih termasuk dalam paket yang sama, karena tidak ada yang dapat diambil melalui terowongan yang belum ada. Tanyakan kanal mana dari ketiganya yang nyata bagi pengguna ini sebelum seseorang menjanjikan tanggal. Kanal yang hanya ada di atas kertas berubah menjadi panggilan telepon dari lapangan.
Catat apa yang sebenarnya dilakukan teknisi atau pengguna pada saat itu. Jika jawabannya adalah TI terhubung dari jarak jauh untuk membantu, maka jalur instalasi pertama diam-diam bergantung pada alat akses jarak jauh kedua yang juga harus disediakan dan didukung oleh seseorang.
Pembaruan memerlukan keadaan yang diketahui
Setelah mesin mencapai domain, proses domain atau manajemen perangkat yang biasa dapat mengambil alih. Kesalahan menyelinap pada cakupan, karena skrip awal berjalan dalam konteks mesin, sedangkan tindakan masuk pengguna dan tindakan manajemen perangkat dapat berbeda baik dalam cakupan maupun izin.
Entri koneksi untuk semua pengguna bukanlah terowongan perangkat sebelum masuk, apa pun yang disiratkan namanya. Terowongan perangkat membawa persyaratan platform, protokol, dan kredensialnya sendiri, dan membaca persyaratan itu adalah satu-satunya cara mengetahui apakah terowongan sebelum masuk mungkin di sini. Terowongan pengguna yang mulai saat masuk menawarkan jaminan yang berbeda.
Buat jalur pembaruan dapat diulang: temukan profil yang sudah dikelola, pertahankan preferensi pengguna yang dimaksudkan, terapkan definisi yang kompatibel, dan laporkan hasil yang jelas. Membuat profil baru pada setiap penyegaran kebijakan adalah cara mesin berakhir dengan lima entri dan pengguna yang memilih yang salah.
Catatan yang membuatnya tetap dapat didukung
Tiga jawaban termasuk dalam serah terima: bagaimana perangkat yang baru diterbitkan mendapatkan koneksi pertamanya, siapa yang boleh mengubah paket, dan bagaimana administrator mundur dari perubahan yang tidak kompatibel. Dengan itu tertulis, penerapan tidak lagi bergantung pada seseorang yang sudah memiliki akses yang akan disediakan.
Simpan catatan itu di samping versi paket dan perbarui keduanya dalam perubahan yang sama. Jika tidak, orang berikutnya membangun ulang jalur bootstrap dari tiket yang ditutup setahun lalu.