Een gekopieerd rasphone.pbk wist de andere systeembrede VPN's

De nieuwe VPN verscheen, authenticatie werkte, en een VPN van derden die twee jaar op de machine had gewoond, verdween in dezelfde herstart. Niets in het uitrol-logboek noemde het, omdat niets in de uitrol zich ermee bezighield. Het pakket had het globale telefoonboek vervangen, en de andere verbinding was een vermelding in dat bestand. Dit is een kopieerbewerking die zich precies gedraagt zoals een kopieerbewerking zich hoort te gedragen.

De oplossing is geen betere kopie. Het is het bestand niet kopiëren.

Wat het telefoonboek werkelijk bevat

Een telefoonboek is een container van verbindingsdefinities, geen profiel. Vermeldingen per gebruiker staan onder het gebruikersprofiel, en vermeldingen voor alle gebruikers staan onder het machinebrede ProgramData-pad, daarom raakt een uitrol die dat bestand schrijft elke lokale gebruiker tegelijk. Hetzelfde bestand bevat ook vermeldingen van andere leveranciers, en daar komt de bijkomende schade vandaan.

Een verbindingsdefinitie is ook niet het hele verhaal. Routen, DNS-beleid, vertrouwd CA-materiaal en identiteit worden door aparte eigenaren geleverd.

Bepaal welk bereik het profiel bezit

Lijst beide bereiken op voordat je iets schrijft. Get-VpnConnection geeft de vermeldingen van de huidige gebruiker terug en Get-VpnConnection -AllUserConnection geeft de machinebrede terug, en dezelfde naam kan in beide bestaan met andere instellingen. Beslis welk bereik jouw uitrol bezit en schrijf het op, want het verkeerde bereik bijwerken laat de gebruiker via het oude profiel verbinden terwijl jouw wijziging in een bestand zit dat niemand leest. Een geplande taak die als SYSTEM draait ziet ook een andere set profielen dan de aangemelde gebruiker.

De eigenaar benoemen is de stap die voorkomt dat de volgende engineer de kopie van het hele bestand herhaalt.

Maak of werk de genoemde verbinding bij, niets anders

Voor een native Windows-profiel maakt Add-VpnConnection één vermelding, en -AllUserConnection kiest het machinebrede bereik. Voer het eerst uit met -WhatIf, zodat de voorbeeldweergave in je transcript belandt en niet in een klacht van een gebruiker:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

De EAP XML moet ergens legitiem vandaan komen: geëxporteerd uit een werkend referentieprofiel, of gegenereerd door je beheergereedschap voor de echte gateway. Zonder de juiste instellingen voor serververtrouwen verbindt het profiel of met het verkeerde, of het faalt overal, en geen van beide is een geslaagde uitrol.

Als de vermelding al bestaat, vergelijk de instellingen en werk hem bij met Set-VpnConnection in plaats van hem te verwijderen en opnieuw te maken. Verwijderen is hoe een werkende configuratie velden verliest die niemand heeft gedocumenteerd, en hoe ongerelateerde vermeldingen in een brede opruiming verstrikt raken.

Controleer of er een tweede beheersysteem is dat het oude profiel bij de volgende beleidsvernieuwing terugzet. Proeven mislukken hier vaker dan bij de cmdlet.

Test op een machine die al een andere VPN heeft

Kies een testmachine met een ongerelateerde machinebrede vermelding, rol uit, en verifieer dan drie dingen: het nieuwe profiel verschijnt in het bedoelde bereik, authenticatie bereikt een privébron, en de ongerelateerde vermelding verbindt nog steeds. Rol nog twee keer uit en bevestig dat de tweede run alleen het profiel wijzigt dat hij bezit. Die derde controle vangt een pakket dat idempotent is voor zijn eigen vermelding en verwoestend voor al het overige.

Verwijderen volgt dezelfde regel: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection haalt één vermelding uit dienst en laat de rest van het bestand met rust.

Houd de vorige bedoelde configuratie beschikbaar, zodat een beperkte terugdraai betekent dat je één profiel opnieuw importeert in plaats van een volledige machinetoestand te herstellen.