Nokopēts rasphone.pbk izdzēsa pārējos sistēmas līmeņa VPN

Parādījās jaunais VPN, autentifikācija strādāja, un trešās puses VPN, kas divus gadus bija dzīvojis mašīnā, pazuda tajā pašā pārstartēšanā. Nekas izvietošanas žurnālā to neminēja, jo nekas izvietošanā ar to nenodarbojās. Pakotne bija aizstājusi globālo tālruņu grāmatu, un otrs savienojums bija ieraksts šajā failā. Šī ir kopēšanas darbība, kas uzvedas tieši tā, kā kopēšanas darbībai ir jāuzvedas.

Risinājums nav labāka kopija. Risinājums ir failu nekoptēt.

Ko tālruņu grāmata patiešām satur

Tālruņu grāmata ir savienojumu definīciju konteiners, nevis profils. Ieraksti katram lietotājam dzīvo lietotāja profilā, un ieraksti visiem lietotājiem dzīvo mašīnas līmeņa ProgramData ceļā, tāpēc izvietošana, kas raksta šo failu, vienlaikus skar katru vietējo lietotāju. Tajā pašā failā ir arī citu piegādātāju veidoti ieraksti, un no turienes nāk blakus kaitējums.

Arī savienojuma definīcija nav viss stāsts. Maršrutus, DNS politiku, uzticamu CA materiālu un identitāti nodrošina atsevišķi īpašnieki.

Noskaidrojiet, kuram apjomam pieder profils

Uzskaitiet abus apjomus pirms kaut kā rakstīšanas. Get-VpnConnection atgriež pašreizējā lietotāja ierakstus, un Get-VpnConnection -AllUserConnection atgriež mašīnas līmeņa ierakstus, un viens un tas pats nosaukums var pastāvēt abos ar atšķirīgiem iestatījumiem. Izlemiet, kuram apjomam pieder jūsu izvietošana, un pierakstiet to, jo nepareizā apjoma atjaunināšana atstāj lietotāju savienoties pa veco profilu, kamēr jūsu izmaiņas paliek failā, ko neviens nelasa. Plānots uzdevums, kas darbojas kā SYSTEM arī redz citu profilu kopu nekā pieteicies lietotājs.

Īpašnieka nosaukšana ir solis, kas neļauj nākamajam inženierim atkārtot visa faila kopēšanu.

Izveidojiet vai atjauniniet nosaukto savienojumu, neko citu

Vietējam Windows profilam Add-VpnConnection izveido vienu ierakstu, un -AllUserConnection izvēlas mašīnas līmeņa apjomu. Vispirms palaidiet to ar -WhatIf, lai priekšskatījums nonāktu jūsu ierakstā, nevis lietotāja sūdzībā:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

EAP XML ir jānāk no kaut kur legāli: eksportēts no strādājoša atsauces profila vai ģenerēts ar jūsu pārvaldības rīkiem īstajai vārtejai. Bez pareiziem servera uzticēšanās iestatījumiem profils vai nu savienojas ar nepareizo lietu, vai neizdodas visur, un neviens no abiem nav veiksmīga izvietošana.

Kad ieraksts jau pastāv, salīdziniet tā iestatījumus un atjauniniet to ar Set-VpnConnection tā vietā, lai to dzēstu un veidotu no jauna. Dzēšana ir veids, kā strādājoša konfigurācija pazaudē laukus, ko neviens nav dokumentējis, un veids, kā nesaistīti ieraksti nonāk plašā tīrīšanā.

Pārbaudiet, vai nav otra pārvaldības sistēma, kas nākamajā politikas atjauninājumā atgriezīs veco profilu. Pilotprojekti šeit biežāk cieš neveiksmi nekā pie cmdlet.

Izmēģiniet mašīnā, kurai jau ir cits VPN

Izvēlieties testa mašīnu ar nesaistītu mašīnas līmeņa ierakstu, izvietojiet, pēc tam pārbaudiet trīs lietas: jaunais profils parādās paredzētajā apjomā, autentifikācija sasniedz privātu resursu, un nesaistītais ieraksts joprojām savienojas. Izvietojiet vēl divas reizes un apstipriniet, ka otrā palaišana maina tikai tā īpašo profilu. Šī trešā pārbaude notver pakotni, kas ir idempotenta attiecībā uz savu ierakstu un postoša visam pārējam.

Noņemšana seko tam pašam noteikumam: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection atbrīvo vienu ierakstu un atstāj pārējo failu mierā.

Turiet iepriekšējo paredzēto konfigurāciju pieejamu, lai ierobežota atgriešana nozīmētu viena profila atkārtotu importu, nevis visas mašīnas stāvokļa atjaunošanu.