Bootstrap eller GPO: to veier til en Windows-VPN-profil
En profil som distribueres via GPO kan ikke være den eneste veien til delingen som distribuerer den. Skill første installasjon fra rutinemessig oppdatering, og versjoner begge sammen.
Skyv ut en VPN-profil fra en domenedeling, og alt virker – helt fram til den bærbare maskinen som ikke når domenet. Da avhenger leveringen av nettopp den tilkoblingen profilen finnes for å lage. Personen som holder den maskinen, sitter et sted helpdesken ikke kan se. Behandle første installasjon og rutinemessig oppdatering som to atskilte veier gjennom én pakke, for de feiler på måter som ikke har noe til felles.
Første installasjon er et annet problem
To hendelser betyr noe, og bare én av dem skjer mens nettverket samarbeider. Tabellen skiller dem etter hva som er tilgjengelig, hva som utløser arbeidet, og hvordan det vanligvis går galt.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Én gjennomgått artefakt kan tjene begge veier; antakelsen om tilkobling kan ikke deles. Et oppstartsskript skjuler den antakelsen mens det kjører på en pult i bedriftsnettet, og avslører den i felt. Skriptet er ikke defekt, det blir bare bedt om å kjøre der ingen har designet det for å kjøre.
Hva pakken må inneholde
Bestem fem ting før du pakker: hvilken Windows-profilmekanisme som støttes, om omfanget er per bruker eller per enhet, hvilke sertifikater eller klientkomponenter som er forutsetninger, hva profildefinisjonen sier, og hvilken handling som bruker den. ProfileXML er den støttede måten å uttrykke VPN-innstillinger på, levert via VPNv2-CSP-en, og Microsofts veiledning for profilvalg viser hva den kan inneholde. Alt utenfor den listen er en beslutning du tar på stedet.
Parameterne til et hjelpeskript tilhører det skriptet. Navn som xmlFilePath eller AllUserConnection er én forfatters valg og ikke en standard som enhver installatør respekterer, og kopierer du dem til et annet skript, får du en kommando som ser riktig ut og ikke gjør noe.
Hold skript og definisjon under én versjon, og gjennomgå hvor begge kommer fra sammen med tillatelsene deres. Et privilegert oppstartsskript som tilfeldigvis kan leses fra SYSVOL er fortsatt ikke gjennomgått, og distribusjon via policy er ikke en gjennomgang.
Å få den første tilkoblingen
Den første installasjonen skjer mens enheten fortsatt kan nås på en annen måte: et godkjent nettverk, en eksisterende administrasjonskanal eller en registreringsflyt laget for dette. Sertifikater og tillitsforutsetninger for den valgte autentiseringsmetoden hører hjemme i samme pakke, siden ingenting kan hentes gjennom en tunnel som ennå ikke finnes. Spør hvilken av de tre kanalene som er reell for denne brukeren før noen lover en dato. En kanal som bare finnes på papiret, blir en telefon fra felt.
Skriv ned hva teknikeren eller brukeren faktisk gjør i det øyeblikket. Hvis svaret er at IT kobler seg på eksternt for å hjelpe, så avhenger førsteinstallasjonsveien i stillhet av et andre fjern tilgangsverktøy som noen også må skaffe og støtte.
Oppdateringer trenger en kjent tilstand
Når maskinen når domenet, kan den vanlige domene- eller enhetsadministrasjonsprosessen overta. Det er i omfanget feilene sniker seg inn, for et oppstartsskript kjører i maskinkontekst, mens en brukerpåloggingshandling og en enhetsadministrasjonshandling kan avvike i både omfang og tillatelse.
En tilkoblingsoppføring for alle brukere er ikke en enhetstunnel før pålogging, uansett hva navnene antyder. Enhetstunneler har sine egne krav til plattform, protokoll og legitimasjon, og å lese disse kravene er den eneste måten å vite om en tunnel før pålogging er mulig her. En brukertunnel som starter ved pålogging, gir en annen garanti.
Gjør oppdateringsveien repeterbar: finn profilen som allerede administreres, behold de tiltenkte brukerinnstillingene, bruk en kompatibel definisjon og rapporter et tydelig resultat. Å lage en ny profil ved hver policyoppdatering er hvordan en maskin ender med fem oppføringer og en bruker som velger den feil.
Registeret som holder det støttet
Tre svar hører hjemme i overleveringen: hvordan en nyutlevert enhet får sin første tilkobling, hvem som har lov til å endre pakken, og hvordan en administrator trekker seg ut av en inkompatibel endring. Når de er skrevet ned, avhenger utrullingen ikke lenger av noen som allerede har tilgangen som skal etableres.
Oppbevar registeret ved siden av pakkeversjonen og oppdater begge i samme endring. Ellers bygger den neste personen opp bootstrap-veien på nytt fra en sak som ble lukket for et år siden.