Bootstrap eller GPO: to vegar til ein Windows-VPN-profil
Ein profil som blir rulle ut via GPO kan ikkje vere den einaste vegen til dela som rullar han ut. Skil første installasjon frå rutinemessig oppdatering, og versjoner begge saman.
Skyv ut ein VPN-profil frå ei domenedeling, og alt verkar – heilt fram til den berebære maskina som ikkje når domenet. Då er leveringa avhengig av nettopp den tilkoplinga profilen finst for å lage. Personen som held den maskina, sit ein stad helpdesken ikkje kan sjå. Handsame første installasjon og rutinemessig oppdatering som to skilde vegar gjennom éin pakke, for dei feilar på måtar som ikkje har noko til felles.
Første installasjon er eit anna problem
To hendingar betyr noko, og berre éi av dei skjer medan nettet samarbeider. Tabellen skil dei etter kva som er tilgjengeleg, kva som utløyser arbeidet, og korleis det vanlegvis går gale.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Éin gjennomgått artefakt kan tene begge vegane; føresetnaden om tilkopling kan ikkje delast. Eit oppstartsskript gøymer den føresetnaden medan det køyrer på ein pult i bedriftsnettet, og avdekkjer han i felt. Skriptet er ikkje defekt, det blir berre bedt om å køyre der ingen har designa det for å køyre.
Kva pakken må innehalde
Bestem fem ting før du pakkar: kva Windows-profilmekanisme som er støtta, om omfanget er per brukar eller per eining, kva sertifikat eller klientkomponentar som er føresetnader, kva profildefinisjonen seier, og kva handling som nyttar han. ProfileXML er den støtta måten å uttrykke VPN-innstillingar på, levert via VPNv2-CSP-en, og rettleiinga frå Microsoft om profilval viser kva han kan innehalde. Alt utanfor den lista er ei avgjerd du tek på staden.
Parametrane til eit hjelpeskript høyrer til det skriptet. Namn som xmlFilePath eller AllUserConnection er éin forfattar sitt val og ikkje ein standard som kvar installatør respekterer, og kopierer du dei til eit anna skript, får du ein kommando som ser riktig ut og ikkje gjer noko.
Hald skript og definisjon under éin versjon, og gå gjennom kvar begge kjem frå saman med løyva deira. Eit privilegert oppstartsskript som tilfeldigvis kan lesast frå SYSVOL er framleis ikkje gjennomgått, og distribusjon via policy er ikkje ein gjennomgang.
Å få den første tilkoplinga
Den første installasjonen skjer medan eininga framleis kan nåast på ein annan måte: eit godkjent nett, ein eksisterande administrasjonskanal eller ein registreringsflyt laga for dette. Sertifikat og tillitsføresetnader for den valde autentiseringsmetoden høyrer heime i same pakken, sidan ingenting kan hentast gjennom ein tunnel som enno ikkje finst. Spør kva av dei tre kanalane som er reell for denne brukaren før nokon lovar ein dato. Ein kanal som berre finst på papiret, blir ein telefon frå felt.
Skriv ned kva teknikaren eller brukaren faktisk gjer i det augneblinken. Viss svaret er at IT koplar seg på eksternt for å hjelpe, så er førsteinstallasjonsvegen i stillheit avhengig av eit andre fjernåtkomstverktøy som nokon òg må skaffe og støtte.
Oppdateringar treng ein kjend tilstand
Når maskina når domenet, kan den vanlege domene- eller einingadministrasjonsprosessen ta over. Det er i omfanget feila snik seg inn, for eit oppstartsskript køyrer i maskinkontekst, medan ei brukarpåloggingshandling og ei einingadministrasjonshandling kan avvike i både omfang og løyve.
Ei tilkoplingsoppføring for alle brukarar er ikkje ein einingstunnel før pålogging, uansett kva namna antydar. Einingstunnelar har sine eigne krav til plattform, protokoll og legitimasjon, og å lese desse krava er den einaste måten å vite om ein tunnel før pålogging er mogleg her. Ein brukartunnel som startar ved pålogging, gjev ein annan garanti.
Gjer oppdateringsvegen repeterbar: finn profilen som allereie blir administrert, hald dei tiltenkte brukarinnstillingane, bruk ein kompatibel definisjon og rapporter eit tydeleg resultat. Å lage ein ny profil ved kvar policyoppdatering er korleis ei maskin endar med fem oppføringar og ein brukar som vel den feil.
Registeret som held det støtta
Tre svar høyrer heime i overleveringa: korleis ei nyutlevert eining får si første tilkopling, kven som har lov til å endre pakken, og korleis ein administrator trekkjer seg ut av ei inkompatibel endring. Når dei er skrivne ned, er utrullinga ikkje lenger avhengig av nokon som allereie har tilgangen som skal etablerast.
Oppbevar registeret ved sida av pakkeversjonen og oppdater begge i same endring. Elles byggjer den neste personen opp bootstrap-vegen på nytt frå ei sak som vart lukka for eit år sidan.