Bootstrap of GPO: twee routes naar een Windows-VPN-profiel
Een profiel dat via GPO wordt uitgerold kan niet de enige manier zijn om de share te bereiken die het uitrolt. Splits eerste installatie en routinematige update en versioneer beide samen.
Rol een VPN-profiel uit vanaf een domeinshare en alles werkt, tot de laptop die het domein niet kan bereiken. Op dat moment hangt de levering af van precies de verbinding die het profiel moet maken. De persoon met die laptop zit ergens waar de helpdesk niet kan kijken. Behandel eerste installatie en routinematige update als twee aparte routes door één pakket, want ze falen op manieren die niets met elkaar gemeen hebben.
Eerste installatie is een ander probleem
Twee gebeurtenissen tellen, en slechts één daarvan gebeurt terwijl het netwerk meewerkt. De tabel scheidt ze op wat beschikbaar is, wat het werk uitlokt en hoe het meestal misgaat.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Eén beoordeeld artefact kan beide routes dienen; de aanname over connectiviteit kan niet worden gedeeld. Een opstartscript verbergt die aanname zolang het op een bureau in het bedrijfsnetwerk draait, en legt haar in het veld bloot. Het script is niet defect, er wordt alleen gevraagd het te draaien waar niemand het voor ontworpen heeft.
Wat het pakket moet bevatten
Bepaal vijf dingen voordat u het pakket maakt: welk Windows-profielmechanisme wordt ondersteund, of het bereik per gebruiker of per apparaat is, welke certificaten of clientcomponenten vereisten zijn, wat de profieldefinitie zegt en welke actie die toepast. ProfileXML is de ondersteunde manier om VPN-instellingen uit te drukken, geleverd via de VPNv2-CSP, en de handleiding van Microsoft over profielopties somt op wat erin kan. Alles buiten die lijst is een beslissing die u ter plekke neemt.
Parameters van een hulpscript horen bij dat script. Namen als xmlFilePath of AllUserConnection zijn keuzes van één auteur en geen standaard die elke installer respecteert; ze kopiëren naar een ander script levert een commando op dat er goed uitziet en niets doet.
Houd script en definitie onder één versie en controleer waar beide vandaan komen, samen met hun machtigingen. Een bevoorrecht opstartscript dat toevallig leesbaar is vanaf SYSVOL is nog steeds niet beoordeeld, en distributie via beleid is geen beoordeling.
De eerste verbinding krijgen
De eerste installatie gebeurt terwijl het apparaat nog op een andere manier bereikbaar is: een goedgekeurd netwerk, een bestaand beheerkanaal of een inschrijvingsworkflow die hiervoor is ontworpen. Certificaten en vertrouwensvereisten voor de gekozen authenticatiemethode horen in datzelfde pakket, want niets kan worden opgehaald via een tunnel die nog niet bestaat. Vraag welke van die drie kanalen voor deze gebruiker echt is voordat iemand een datum belooft. Een kanaal dat alleen op papier bestaat, wordt een telefoontje uit het veld.
Schrijf op wat de technicus of de gebruiker op dat moment werkelijk doet. Als het antwoord is dat IT op afstand verbinding maakt om te helpen, dan hangt de eerste installatie stilletjes af van een tweede hulpmiddel voor toegang op afstand dat iemand ook moet inrichten en ondersteunen.
Updates hebben een bekende toestand nodig
Zodra de machine het domein bereikt, kan het gewone domein- of apparaatbeheerproces het overnemen. Fouten sluipen binnen bij het bereik, want een opstartscript draait in machinecontext, terwijl een gebruikersaanmeldingsactie en een apparaatbeheeractie kunnen verschillen in zowel bereik als machtiging.
Een verbindingsvermelding voor alle gebruikers is geen apparaattunnel vóór aanmelding, wat de namen ook suggereren. Apparaattunnels hebben hun eigen eisen aan platform, protocol en referenties, en die eisen lezen is de enige manier om te weten of een tunnel vóór aanmelding hier mogelijk is. Een gebruikerstunnel die bij aanmelding start, biedt een andere garantie.
Maak het updatepad herhaalbaar: zoek het profiel dat al wordt beheerd, behoud de bedoelde gebruikersvoorkeuren, pas een compatibele definitie toe en rapporteer een duidelijk resultaat. Bij elke beleidsvernieuwing een nieuw profiel maken is hoe een machine vijf vermeldingen krijgt en een gebruiker de verkeerde kiest.
Het verslag dat het beheersbaar houdt
Drie antwoorden horen in de overdracht: hoe een nieuw uitgegeven apparaat zijn eerste verbinding krijgt, wie het pakket mag wijzigen en hoe een beheerder een incompatibele wijziging terugdraait. Met die punten op papier hangt de uitrol niet langer af van iemand die al over de toegang beschikt.
Bewaar dat verslag naast de pakketversie en werk beide bij in dezelfde wijziging. Anders bouwt de volgende persoon het bootstrap-pad opnieuw op uit een ticket dat een jaar geleden is gesloten.