Bootstrap ar GPO: du keliai į Windows VPN profilį
Per GPO platinamas profilis negali būti vienintelis būdas pasiekti bendrinamą aplanką, kuris jį platina. Atskirkite pirmąjį diegimą nuo įprasto atnaujinimo ir versijuokite abu kartu.
Išstumkite VPN profilį iš domeno bendrinamo aplanko ir viskas veikia – iki nešiojamojo kompiuterio, kuris nepasiekia domeno. Tuo metu pristatymas priklauso būtent nuo to ryšio, kuriam sukurti profilis ir egzistuoja. Žmogus su tuo kompiuteriu yra ten, kur pagalbos tarnyba nemato. Traktuokite pirmąjį diegimą ir įprastą atnaujinimą kaip du atskirus kelius per vieną paketą, nes jie žlunga dėl priežasčių, kurios neturi nieko bendra.
Pirmasis diegimas yra kita problema
Svarbūs du įvykiai, ir tik vienas jų nutinka, kai tinklas bendradarbiauja. Lentelė skiria juos pagal tai, kas prieinama, kas pradeda darbą ir kaip paprastai nepavyksta.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Vienas peržiūrėtas artefaktas gali aptarnauti abu kelius; prielaidos apie junglumą pasidalinti negalima. Paleidimo scenarijus slepia šią prielaidą, kol veikia įmonės tinklo staliuke, ir atskleidžia ją lauke. Scenarijus nėra sugedęs, tiesiog jo prašoma veikti ten, kur niekas jo neprojektavo.
Ką paketas turi turėti
Prieš pakavimą nuspręskite penkis dalykus: kuris Windows profilio mechanizmas palaikomas, ar apimtis skirta naudotojui, ar įrenginiui, kurie sertifikatai ar kliento komponentai yra būtini, ką sako profilio apibrėžtis ir koks veiksmas ją taiko. ProfileXML yra palaikomas būdas išreikšti VPN nustatymus, tiekiamas per VPNv2 CSP, o Microsoft profilio parinkčių vadovas išvardija, ką jis gali turėti. Viskas, kas nepatenka į šį sąrašą, yra sprendimas, priimamas vietoje.
Pagalbinio scenarijaus parametrai priklauso tam scenarijui. Tokie pavadinimai kaip xmlFilePath ar AllUserConnection yra vieno autoriaus pasirinkimas, o ne standartas, kurio laikosi kiekvienas diegėjas; nukopijavus juos į kitą scenarijų gaunama komanda, kuri atrodo teisingai ir nieko nedaro.
Laikykite scenarijų ir apibrėžtį vienoje versijoje ir tikrinkite, iš kur abu atsirado, kartu su jų leidimais. Privilegijuotas paleidimo scenarijus, kuris atsitiktinai yra skaitomas iš SYSVOL, vis dar nėra peržiūrėtas, o platinimas per strategiją nėra peržiūra.
Kaip gauti pirmąjį ryšį
Pirmasis diegimas vyksta tol, kol įrenginys dar pasiekiamas kitu būdu: patvirtintu tinklu, esamu valdymo kanalu arba tam suprojektuotu registracijos procesu. Pasirinkto autentifikavimo metodo sertifikatai ir pasitikėjimo reikalavimai priklauso tam pačiam paketui, nes per tunelį, kurio dar nėra, nieko negalima atsisiųsti. Prieš kam nors pažadant datą, paklauskite, kuris iš šių trijų kanalų yra realus šiam naudotojui. Kanalas, egzistuojantis tik popieriuje, virsta skambučiu iš lauko.
Užrašykite, ką technikas ar naudotojas tuo metu iš tikrųjų daro. Jei atsakymas toks, kad IT jungiasi nuotoliniu būdu, kad padėtų, tuomet pirmojo diegimo kelias tyliai priklauso nuo antros nuotolinės prieigos priemonės, kurią kažkas taip pat turi parūpinti ir palaikyti.
Atnaujinimams reikia žinomos būsenos
Kai kompiuteris pasiekia domeną, gali perimti įprastas domeno ar įrenginių valdymo procesas. Klaidos įsiskverbia į apimtį, nes paleidimo scenarijus veikia kompiuterio kontekste, o naudotojo prisijungimo veiksmas ir įrenginio valdymo veiksmas gali skirtis ir apimtimi, ir leidimais.
Visų naudotojų ryšio įrašas nėra įrenginio tunelis prieš prisijungimą, kad ir ką siūlytų pavadinimai. Įrenginio tuneliai turi savo platformos, protokolo ir kredencialų reikalavimus, o šių reikalavimų skaitymas yra vienintelis būdas sužinoti, ar tunelis prieš prisijungimą čia įmanomas. Naudotojo tunelis, prasidedantis prisijungus, suteikia kitokią garantiją.
Padarykite atnaujinimo kelią kartojamą: raskite jau valdomą profilį, išsaugokite numatytas naudotojo nuostatas, pritaikykite suderinamą apibrėžtį ir pateikite aiškų rezultatą. Naujo profilio kūrimas prie kiekvieno strategijos atnaujinimo yra būdas, kuriuo kompiuteris lieka su penkiais įrašais ir naudotoju, pasirenkančiu netinkamą.
Įrašas, kuris išlaiko tai palaikoma
Perdavimui priklauso trys atsakymai: kaip naujai išduotas įrenginys gauna pirmąjį ryšį, kas gali keisti paketą ir kaip administratorius atsitraukia nuo nesuderinamo pakeitimo. Kai jie užrašyti, diegimas nepriklauso nuo žmogaus, kuris jau turi prieigą, kurią reikia suteikti.
Saugokite tą įrašą šalia paketo versijos ir atnaujinkite abu tame pačiame pakeitime. Priešingu atveju kitas žmogus iš naujo pastatys bootstrap kelią iš prieš metus uždaryto prašymo.