Bootstrap sau GPO: două căi pentru un profil VPN Windows
Un profil distribuit prin GPO nu poate fi singura cale de a ajunge la partajarea care îl distribuie. Separați prima instalare de actualizarea de rutină și versionați-le pe amândouă împreună.
Trimiteți un profil VPN dintr-o partajare de domeniu și totul funcționează, până la laptopul care nu poate ajunge la domeniu. În acel moment livrarea depinde exact de conexiunea pe care profilul există ca să o creeze. Persoana cu acel laptop se află undeva unde serviciul de asistență nu vede. Tratați prima instalare și actualizarea de rutină ca două căi separate printr-un singur pachet, pentru că eșuează în feluri care nu au nimic în comun.
Prima instalare este o altă problemă
Contează două evenimente și doar unul dintre ele se întâmplă cât timp rețeaua cooperează. Tabelul le separă după ce este disponibil, ce declanșează munca și cum merge de obicei prost.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Un singur artefact revizuit poate servi ambele căi; presupunerea despre conectivitate nu poate fi împărtășită. Un script de pornire ascunde această presupunere cât timp rulează pe un birou din rețeaua corporativă și o expune în teren. Scriptul nu este defect, doar i se cere să ruleze unde nimeni nu l-a proiectat.
Ce trebuie să conțină pachetul
Decideți cinci lucruri înainte de ambalare: ce mecanism de profil Windows este acceptat, dacă domeniul de aplicare este pe utilizator sau pe dispozitiv, ce certificate sau componente client sunt condiții prealabile, ce spune definiția profilului și ce acțiune o aplică. ProfileXML este modul acceptat de a exprima setările VPN, livrat prin CSP-ul VPNv2, iar ghidul Microsoft privind opțiunile de profil enumeră ce poate conține. Orice în afara acelei liste este o decizie pe care o luați din mers.
Parametrii unui script auxiliar aparțin acelui script. Nume precum xmlFilePath sau AllUserConnection sunt alegerile unui autor, nu un standard pe care îl respectă fiecare instalator; copierea lor în alt script produce o comandă care pare corectă și nu face nimic.
Țineți scriptul și definiția sub o singură versiune și auditați de unde provin amândouă, împreună cu permisiunile lor. Un script de pornire privilegiat care se întâmplă să fie citibil din SYSVOL tot nu a fost revizuit, iar distribuirea prin politică nu este o revizuire.
Obținerea primei conexiuni
Prima instalare are loc cât timp dispozitivul poate fi atins în alt mod: o rețea aprobată, un canal de administrare existent sau un flux de înrolare conceput pentru asta. Certificatele și cerințele de încredere pentru metoda de autentificare aleasă aparțin aceluiași pachet, fiindcă nimic nu poate fi adus printr-un tunel care nu există încă. Întrebați care dintre cele trei canale este real pentru acest utilizator înainte ca cineva să promită o dată. Un canal care există doar pe hârtie devine un telefon din teren.
Notați ce face de fapt tehnicianul sau utilizatorul în acel moment. Dacă răspunsul este că IT se conectează de la distanță pentru a ajuta, atunci calea primei instalări depinde în liniște de un al doilea instrument de acces la distanță pe care cineva trebuie să îl asigure și să îl susțină.
Actualizările au nevoie de o stare cunoscută
Odată ce mașina ajunge în domeniu, procesul obișnuit de domeniu sau de administrare a dispozitivelor poate prelua. Greșelile se strecoară la domeniul de aplicare, fiindcă un script de pornire rulează în contextul mașinii, în timp ce o acțiune de autentificare a utilizatorului și o acțiune de administrare a dispozitivelor pot diferi atât ca întindere, cât și ca permisiuni.
O intrare de conexiune pentru toți utilizatorii nu este un tunel de dispozitiv dinaintea autentificării, orice ar sugera numele. Tunelele de dispozitiv au propriile cerințe de platformă, protocol și acreditări, iar citirea acestor cerințe este singura cale de a ști dacă un tunel dinaintea autentificării este posibil aici. Un tunel de utilizator care pornește la autentificare oferă o altă garanție.
Faceți calea de actualizare repetabilă: găsiți profilul deja administrat, păstrați preferințele de utilizator dorite, aplicați o definiție compatibilă și raportați un rezultat clar. A crea un profil nou la fiecare reîmprospătare de politică este felul în care o mașină ajunge cu cinci intrări și un utilizator care o alege pe cea greșită.
Înregistrarea care îl menține suportabil
Trei răspunsuri intră în predare: cum primește un dispozitiv nou emis prima conexiune, cine are voie să modifice pachetul și cum revine un administrator dintr-o schimbare incompatibilă. Odată scrise, implementarea nu mai depinde de cineva care are deja accesul ce trebuie asigurat.
Păstrați acea înregistrare lângă versiunea pachetului și actualizați-le pe amândouă în aceeași schimbare. Altfel următoarea persoană reconstruiește calea de bootstrap dintr-un tichet închis acum un an.