Bootstrap 아니면 GPO: Windows VPN 프로필의 두 가지 길

도메인 공유에서 VPN 프로필을 밀어 넣으면 모든 것이 동작한다. 도메인에 닿지 못하는 노트북까지는. 그 순간 배포는 프로필이 만들기 위해 존재하는 바로 그 연결에 의존한다. 그 노트북을 든 사람은 헬프데스크가 볼 수 없는 곳에 있다. 첫 설치와 일상 업데이트를 하나의 패키지를 지나는 두 개의 다른 경로로 다루라. 둘의 실패 방식에는 공통점이 없다.

첫 설치는 다른 문제다

중요한 사건은 둘이고, 네트워크가 협조하는 동안 일어나는 것은 그중 하나뿐이다. 표는 무엇이 가능한지, 무엇이 작업을 시작하는지, 보통 어디서 어긋나는지로 둘을 나눈다.

검토된 산출물 하나가 두 경로를 모두 섬길 수 있다. 연결에 관한 가정은 공유할 수 없다. 시작 스크립트는 기업 네트워크의 책상에서 도는 동안 그 가정을 숨기고, 현장에서는 그것을 드러낸다. 스크립트가 결함 있는 것이 아니라, 아무도 설계하지 않은 곳에서 돌라고 요구받고 있을 뿐이다.

패키지에 무엇이 들어가야 하는가

패키징 전에 다섯 가지를 정하라. 어떤 Windows 프로필 방식을 지원하는가, 범위가 사용자 단위인지 장치 단위인지, 어떤 인증서나 클라이언트 구성 요소가 전제 조건인지, 프로필 정의가 무엇을 말하는지, 어떤 동작이 그것을 적용하는지. ProfileXML은 VPN 설정을 표현하는 지원되는 방식이며 VPNv2 CSP를 통해 전달된다. Microsoft의 프로필 옵션 안내서는 무엇을 담을 수 있는지 나열한다. 그 목록 밖의 모든 것은 그 자리에서 내리는 결정이다.

보조 스크립트의 매개변수는 그 스크립트의 것이다. xmlFilePath나 AllUserConnection 같은 이름은 한 작성자의 선택이지 모든 설치 프로그램이 따르는 표준이 아니다. 다른 스크립트로 복사하면 올바르게 보이지만 아무것도 하지 않는 명령이 된다.

스크립트와 정의를 한 버전 아래 두고, 둘이 어디서 왔는지 권한과 함께 감사하라. SYSVOL에서 우연히 읽히는 권한 있는 시작 스크립트는 여전히 검토되지 않았고, 정책을 통한 배포는 검토가 아니다.

첫 연결을 얻기

첫 설치는 장치에 아직 다른 방식으로 닿을 수 있을 때 일어난다. 승인된 네트워크, 기존 관리 채널, 또는 이를 위해 설계된 등록 흐름이다. 선택한 인증 방식의 인증서와 신뢰 전제 조건은 같은 패키지에 속한다. 아직 없는 터널로는 아무것도 가져올 수 없기 때문이다. 누군가 날짜를 약속하기 전에 이 세 채널 중 어느 것이 이 사용자에게 실제인지 물어라. 종이에만 있는 채널은 현장에서 오는 전화가 된다.

그 순간 기술자나 사용자가 실제로 무엇을 하는지 적어라. 답이 IT가 도우려고 원격으로 접속한다는 것이라면, 첫 설치 경로는 누군가 또한 마련하고 지원해야 하는 두 번째 원격 접속 도구에 조용히 의존한다.

업데이트에는 알려진 상태가 필요하다

장치가 도메인에 닿으면 일반적인 도메인 또는 장치 관리 프로세스가 이어받을 수 있다. 실수는 범위에서 새어 들어온다. 시작 스크립트는 장치 컨텍스트에서 돌지만, 사용자 로그온 동작과 장치 관리 동작은 범위와 권한 모두에서 다를 수 있다.

모든 사용자용 연결 항목은 이름이 무엇을 암시하든 로그온 전 장치 터널이 아니다. 장치 터널은 플랫폼, 프로토콜, 자격 증명에 관한 자체 요구 사항을 지니며, 그 요구 사항을 읽는 것이 여기서 로그온 전 터널이 가능한지 아는 유일한 방법이다. 로그온 때 시작하는 사용자 터널은 다른 보증을 준다.

업데이트 경로를 반복 가능하게 만들어라. 이미 관리되는 프로필을 찾고, 의도한 사용자 기본 설정을 유지하고, 호환되는 정의를 적용하고, 명확한 결과를 보고하라. 정책을 새로 고칠 때마다 새 프로필을 만드는 것이 장치에 다섯 개 항목이 남고 사용자가 잘못된 것을 고르는 이유다.

이것을 지원 가능하게 지켜 주는 기록

인계에는 세 가지 답이 들어간다. 새로 지급된 장치가 첫 연결을 어떻게 얻는지, 누가 패키지를 바꿀 수 있는지, 관리자가 호환되지 않는 변경에서 어떻게 물러나는지. 이것이 적혀 있으면 배포는 지급할 접근 권한을 이미 가진 사람에게 더 이상 의존하지 않는다.

그 기록을 패키지 버전 옆에 두고 둘을 같은 변경에서 갱신하라. 그렇지 않으면 다음 사람이 일 년 전에 닫힌 티켓에서 bootstrap 경로를 다시 세운다.