Ein kopiert rasphone.pbk sletta dei andre systemvide VPN-ane

Den nye VPN-en dukka opp, autentiseringa verka, og ein tredjeparts VPN som hadde budd på maskina i to år forsvann i den same omstarten. Ingenting i utrullingsloggen nemnde det, fordi ingenting i utrulleringa tok seg av det. Pakken hadde bytt ut den globale telefonboka, og den andre tilkoplinga var eit innslag i den fila. Dette er ein kopieringsoperasjon som oppfører seg nøyaktig slik ein kopieringsoperasjon skal oppføra seg.

Løysinga er ikkje ein betre kopi. Ho er å ikkje kopiera fila.

Kva telefonboka faktisk inneheld

Ei telefonbok er ein behaldar for tilkoplingsdefinisjonar, ikkje ein profil. Innslag per brukar ligg under brukarprofilen, og innslag for alle brukarar ligg under den maskinvide ProgramData-stien, og difor rører ei utrullering som skriv den fila kvar lokal brukar på ein gong. Den same fila ber òg innslag som andre leverandørar har laga, og det er der følgjeskaden kjem frå.

Ein tilkoplingsdefinisjon er heller ikkje heile soga. Ruter, DNS-politikk, klarert CA-materiale og identitet vert leverte av skilde eigarar.

Finn ut kva omfang som eig profilen

List opp båe omfanga før du skriv noko. Get-VpnConnection gjev innslaga til den gjeldande brukaren og Get-VpnConnection -AllUserConnection gjev dei på maskinnivå, og det same namnet kan finnast i båe med ulike innstillingar. Avgjer kva omfang utrulleringa di eig og skriv det ned, for å oppdatera feil omfang let brukaren kopla seg til via den gamle profilen medan endringa di sit i ei fil som ingen les. Ein planlagd jobb som køyrer som SYSTEM ser òg eit anna sett profilar enn den innlogga brukaren.

Å namngje eigaren er steget som hindrar den neste ingeniøren i å gjenta kopieringa av heile fila.

Lag eller oppdater den namngjevne tilkoplinga, ikkje noko anna

For ein innfødd Windows-profil lagar Add-VpnConnection eitt innslag, og -AllUserConnection vel det maskinvide omfanget. Køyr han fyrst med -WhatIf, slik at førehandsvisinga hamnar i transkriptet ditt og ikkje i ein klage frå ein brukar:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

EAP XML må koma frå ein stad som er legitim: eksportert frå ein verande referanseprofil, eller generert av administrasjonsverktøya dine for den verkelege porten. Utan rette innstillingar for tenartillit koplar profilen seg anten til den gale tingen eller feilar overalt, og ingen av delane er ei vellukka utrullering.

Når innslaget alt finst, samanlikn innstillingane og oppdater det med Set-VpnConnection i staden for å sletta og laga det på nytt. Sletting er måten ei verande konfigurasjon mistar felt som ingen har dokumentert, og måten innslag utan samanheng vert fanga i ein brei opprydding.

Sjekk om det finst eit andre styringssystem som set den gamle profilen tilbake ved neste politikkoppfrisking. Pilotar feilar her oftare enn ved cmdlet-en.

Pilotér på ei maskin som alt har ein annan VPN

Vel ei testmaskin med eit innslag utan samanheng på maskinnivå, rull ut, og stadfest så tre ting: den nye profilen dukkar opp i det tiltenkte omfanget, autentiseringa når ein privat ressurs, og innslaget utan samanheng koplar seg framleis til. Rull ut to gonger til og stadfest at den andre køyringa berre endrar profilen ho eig. Den tredje kontrollen fangar ein pakke som er idempotent for sitt eige innslag og øydeleggjande for alt anna.

Fjerning følgjer den same regelen: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection pensjonerer eitt innslag og let resten av fila vera i fred.

Hald den førre tiltenkte konfigurasjonen tilgjengeleg, slik at ein avgrensa tilbakerulling tyder å importera ein profil på nytt i staden for å gjenoppretta ein heil maskintilstand.