Menyambung VPN tidak memutar ulang skrip logon Anda

Pengguna Anda masuk di rumah, menyambung VPN, dan menunggu pemetaan drive yang dulu muncul sendiri di kantor. Terowongan naik, domain menjawab, dan tidak ada yang dipetakan. Tidak ada yang rusak: skrip logon berjalan saat logon, dan terowongan yang dibuka dua puluh menit setelah sesi dimulai bukanlah logon. Membaca keduanya sebagai peristiwa yang sama membuat orang memburu gangguan VPN yang tidak ada.

Empat keputusan mengubah kejutan itu menjadi alur kerja yang berperilaku benar, dan yang pertama adalah sekadar mengetahui peristiwa apa yang ditumpangi skrip.

Skrip menumpang pada peristiwa siklus hidup yang tidak dapat Anda putar ulang

Kebijakan sisi komputer diterapkan saat mesin menyala dan kebijakan sisi pengguna saat seseorang masuk, sementara penyegaran latar belakang menyusuri pengaturan yang sama tanpa memulai ulang apa pun. Penyegaran itu memproses ekstensi skrip, tetapi tidak menjalankan ulang skrip individual, yang hanya terpicu saat startup, shutdown, logon, atau logoff. Jadi gpupdate /force dapat melaporkan sukses sementara pemetaan masih belum ada, dan penyegaran yang bersih bukan bukti bahwa skrip melakukan sesuatu.

Referensi Microsoft tentang pemrosesan kebijakan menarik persis garis itu antara memproses ekstensi dan menjalankan isinya, dan itulah halaman yang dikutip ketika seseorang bersikeras bahwa penyegaran seharusnya memutar ulang skrip.

Tidak setiap skrip gagal juga saat offline. Skrip yang hanya membaca materi lokal atau cache mungkin berhasil sebagian, sedangkan yang menyentuh share gagal diam-diam dan tidak meninggalkan jejak jelas. Periksa jalur skrip yang sebenarnya dan apa yang dijangkau sebelum menyalahkan jaringan. Pemeriksaan yang sama berlaku untuk setiap klaim bahwa skrip tidak berjalan saat logon, karena tugas terjadwal atau tindakan klien mungkin melakukan pekerjaan itu di tempat yang tidak dilihat siapa pun.

Ikat pekerjaan pada koneksi, bukan pada logon

Tiga pekerjaan berbeda bersembunyi di balik frasa skrip logon: memetakan drive setelah pengguna tersambung, menerapkan konfigurasi mesin sebelum siapa pun masuk, dan menarik kebijakan yang diperbarui. Tenggatnya berbeda, dan hanya yang kedua benar-benar membutuhkan konektivitas sebelum logon. Tuliskan persyaratannya sebagai kalimat dengan tenggat, misalnya: pemetaan ini harus ada dalam satu menit setelah terowongan naik.

Untuk pekerjaan yang harus terjadi setelah koneksi, gunakan tugas yang dipicu koneksi atau tindakan koneksi yang didukung klien. Periksa peristiwa mana yang benar-benar dipancarkan klien, karena peristiwa yang dimunculkan klien VPN bawaan Windows tidak dimunculkan oleh klien pihak ketiga. Untuk konfigurasi mesin yang harus mendahului logon, jawaban yang didukung adalah terowongan perangkat atau desain pra-logon lain, bukan tugas yang terpicu saat desktop muncul. Jalankan pekerjaan dalam identitas dan sesi yang membutuhkannya, karena pemetaan yang dibuat sebagai SYSTEM mendarat di sesi yang tidak pernah dilihat pengguna.

Uji kesiapan sebelum bertindak, dan gagal dengan lantang

Peristiwa koneksi bisa datang sebelum DNS atau server file dapat digunakan, jadi tugas harus menguji apa yang dibutuhkannya alih-alih mengasumsikan. Selesaikan nama spesifik, coba koneksi spesifik, dan ulangi dengan batas dan jeda: Resolve-DnsName files.corp.example dalam loop singkat memisahkan belum-dari tidak pernah. Laporkan kegagalan konkret setelah percobaan terakhir, dengan nama dan galat di dalamnya.

Loop tanpa akhir tanpa log tidak dapat dibedakan dari tugas yang tidak pernah mulai, dan itu menyembunyikan perbedaan antara kredensial basi dan aturan firewall.

Verifikasi empat hal, lalu buat dapat diulang

Selama pilot, catat empat pengamatan alih-alih satu: peristiwa koneksi terpicu, tugas dimulai, sumber daya menjawab, dan perubahan yang diminta benar-benar terjadi. Jika log berhenti di tugas dimulai, kegagalan sebenarnya tetap tak terlihat seberapa lama pun Anda menunggu. Lalu jalankan gpresult /scope user /v untuk melihat kebijakan apa yang diyakini sesi, dan bandingkan dengan pengaturan yang Anda harapkan. Laporan yang mencantumkan GPO sebagai diterapkan tetap tidak mengatakan apa pun tentang pemetaan.

Buat pekerjaan aman untuk diulang sebelum Anda memperluasnya, karena klien menyambung ulang dan tugas terpicu lagi. Periksa pemetaan atau konfigurasi yang sudah ada sebelum membuatnya, dan catat apa yang Anda temukan. Pekerjaan ganda setelah setiap penyambungan ulang sesaat adalah cara tugas yang membantu menjadi insiden.

Ketika pemicu otomatis tidak cocok, tindakan pengguna yang disetujui yang menjalankan skrip bertanda tangan yang sama adalah desain yang sah. Itu membuat waktunya eksplisit alih-alih berpura-pura peristiwa logon telah terjadi.