Bootstrap vai GPO: divi ceļi uz Windows VPN profilu
Profilu, kas tiek izplatīts ar GPO, nevar būt vienīgais veids, kā sasniegt koplietojamo mapi, kas to izplata. Atdaliet pirmo instalāciju no parastās atjaunināšanas un versējiet abus kopā.
Izstumiet VPN profilu no domēna koplietojamās mapes, un viss strādā — līdz portatīvajam datoram, kas nevar sasniegt domēnu. Tajā brīdī piegāde ir atkarīga tieši no tā savienojuma, kura dēļ profils vispār pastāv. Cilvēks ar šo datoru atrodas kaut kur, kur atbalsta dienests neredz. Uzskatiet pirmo instalāciju un parasto atjaunināšanu par diviem atsevišķiem ceļiem vienā pakotnē, jo tie neizdodas tādos veidos, kuriem nav nekā kopīga.
Pirmā instalācija ir cita problēma
Svarīgi ir divi notikumi, un tikai viens no tiem notiek, kamēr tīkls sadarbojas. Tabula tos atdala pēc tā, kas ir pieejams, kas uzsāk darbu un kā tas parasti noiet greizi.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Viens pārskatīts artefakts var apkalpot abus ceļus; pieņēmumu par savienojamību nevar dalīt. Sāknēšanas skripts slēpj šo pieņēmumu, kamēr darbojas uz galda korporatīvajā tīklā, un atklāj to laukā. Skripts nav bojāts, vienkārši tam lūdz darboties tur, kur neviens to nav projektējis.
Kas pakotnei jāsatur
Pirms iepakošanas izlemiet piecas lietas: kurš Windows profila mehānisms tiek atbalstīts, vai tvērums ir uz lietotāju vai uz ierīci, kuri sertifikāti vai klienta komponenti ir priekšnosacījumi, ko saka profila definīcija un kura darbība to piemēro. ProfileXML ir atbalstītais veids, kā izteikt VPN iestatījumus, ko piegādā ar VPNv2 CSP, un Microsoft profila opciju rokasgrāmata uzskaita, ko tas var saturēt. Viss ārpus šī saraksta ir lēmums, ko pieņemat uz vietas.
Palīgskripta parametri pieder šim skriptam. Tādi nosaukumi kā xmlFilePath vai AllUserConnection ir viena autora izvēle, nevis standarts, ko ievēro ikviens instalētājs; to kopēšana citā skriptā dod komandu, kas izskatās pareizi un neko nedara.
Turiet skriptu un definīciju vienā versijā un pārbaudiet, no kurienes abi nāk, kopā ar to atļaujām. Privileģēts sāknēšanas skripts, kas nejauši ir lasāms no SYSVOL, joprojām nav pārskatīts, un izplatīšana ar politiku nav pārskatīšana.
Kā iegūt pirmo savienojumu
Pirmā instalācija notiek, kamēr ierīce vēl ir sasniedzama citādi: apstiprinātā tīklā, esošā pārvaldības kanālā vai reģistrācijas plūsmā, kas tam paredzēta. Izvēlētās autentifikācijas metodes sertifikāti un uzticības priekšnosacījumi pieder tai pašai pakotnei, jo pa tuneli, kura vēl nav, neko nevar lejupielādēt. Pirms kāds sola datumu, pajautājiet, kurš no šiem trim kanāliem ir reāls šim lietotājam. Kanāls, kas pastāv tikai uz papīra, pārvēršas par zvanu no lauka.
Pierakstiet, ko tehniķis vai lietotājs tajā brīdī faktiski dara. Ja atbilde ir tāda, ka IT pieslēdzas attālināti, lai palīdzētu, tad pirmās instalācijas ceļš klusi ir atkarīgs no otra attālinātās piekļuves rīka, kas kādam arī jānodrošina un jāatbalsta.
Atjauninājumiem vajadzīgs zināms stāvoklis
Kad dators sasniedz domēnu, var pārņemt parastais domēna vai ierīču pārvaldības process. Kļūdas ielien tvērumā, jo sāknēšanas skripts darbojas datora kontekstā, bet lietotāja pieteikšanās darbība un ierīču pārvaldības darbība var atšķirties gan tvērumā, gan atļaujās.
Visu lietotāju savienojuma ieraksts nav ierīces tunelis pirms pieteikšanās, lai ko arī nosaukumi liktu domāt. Ierīces tuneļiem ir savas prasības platformai, protokolam un akreditācijas datiem, un šo prasību lasīšana ir vienīgais veids, kā uzzināt, vai tunelis pirms pieteikšanās šeit ir iespējams. Lietotāja tunelis, kas sākas pieteikšanās laikā, sniedz citu garantiju.
Padariet atjaunināšanas ceļu atkārtojamu: atrodiet profilu, kas jau tiek pārvaldīts, saglabājiet paredzētos lietotāja iestatījumus, piemērojiet saderīgu definīciju un ziņojiet skaidru rezultātu. Jauns profils pie katras politikas atjaunināšanas ir veids, kā dators paliek ar pieciem ierakstiem un lietotāju, kurš izvēlas nepareizo.
Ieraksts, kas to notur uzturamu
Nodošanā ietilpst trīs atbildes: kā jaunizsniegta ierīce iegūst pirmo savienojumu, kurš drīkst mainīt pakotni un kā administrators atkāpjas no nesaderīgas izmaiņas. Kad tās ir pierakstītas, ieviešana vairs nav atkarīga no kāda, kam jau ir piekļuve, kas jānodrošina.
Glabājiet šo ierakstu blakus pakotnes versijai un atjauniniet abus vienā izmaiņā. Citādi nākamā persona no jauna būvē bootstrap ceļu no pieteikuma, kas slēgts pirms gada.