Bootstrap или GPO: два пути к профилю VPN в Windows
Профиль, распространяемый через GPO, не может быть единственным способом добраться до общей папки, которая его распространяет. Разделите первую установку и плановое обновление и версионируйте обе части вместе.
Отправьте профиль VPN из доменной общей папки, и всё работает — до ноутбука, который не может достучаться до домена. В этот момент доставка зависит ровно от того соединения, ради которого профиль и существует. Человек с этим ноутбуком находится там, куда служба поддержки не видит. Рассматривайте первую установку и плановое обновление как два отдельных пути в рамках одного пакета, потому что они ломаются по совершенно разным причинам.
Первая установка — это другая задача
Значимы два события, и только одно из них происходит, пока сеть сотрудничает. Таблица разделяет их по тому, что доступно, что запускает работу и как это обычно идёт не так.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Один проверенный артефакт может обслуживать оба пути; допущение о связности разделить нельзя. Скрипт запуска скрывает это допущение, пока работает на столе в корпоративной сети, и обнажает его в поле. Скрипт не дефектен, просто его просят работать там, где его никто не проектировал.
Что должен содержать пакет
Перед упаковкой решите пять вещей: какой механизм профиля Windows поддерживается, область действия на пользователя или на устройство, какие сертификаты или клиентские компоненты являются обязательными, что говорит определение профиля и какое действие его применяет. ProfileXML — поддерживаемый способ выражать настройки VPN, доставляемый через CSP VPNv2, а руководство Microsoft по параметрам профиля перечисляет, что он может содержать. Всё, что вне этого списка, — решение, которое вы принимаете на ходу.
Параметры вспомогательного скрипта принадлежат этому скрипту. Имена вроде xmlFilePath или AllUserConnection — выбор одного автора, а не стандарт, который соблюдает каждый установщик; копирование их в другой скрипт даёт команду, которая выглядит правильно и ничего не делает.
Держите скрипт и определение под одной версией и проверяйте, откуда обе части взялись, вместе с их разрешениями. Привилегированный скрипт запуска, который случайно читается из SYSVOL, всё ещё не проверен, а распространение через политику — не проверка.
Как получить первое подключение
Первая установка происходит, пока устройство ещё доступно иначе: через одобренную сеть, существующий канал управления или процесс регистрации, созданный для этого. Сертификаты и требования доверия для выбранного способа проверки подлинности относятся к тому же пакету, поскольку через туннель, которого ещё нет, ничего не загрузить. Спросите, какой из этих трёх каналов реален для этого пользователя, прежде чем кто-то пообещает дату. Канал, существующий только на бумаге, превращается в звонок из поля.
Запишите, что техник или пользователь на самом деле делает в этот момент. Если ответ таков, что ИТ подключается удалённо, чтобы помочь, то путь первой установки тихо зависит от второго средства удалённого доступа, которое кому-то тоже нужно выделить и поддерживать.
Обновлениям нужно известное состояние
Как только машина попадает в домен, обычный доменный процесс или процесс управления устройствами может взять верх. Ошибки закрадываются в области действия, потому что скрипт запуска работает в контексте машины, тогда как действие входа пользователя и действие управления устройствами могут различаться и по области, и по правам.
Запись подключения для всех пользователей не является туннелем устройства до входа, как бы ни звучали названия. Туннели устройства несут собственные требования к платформе, протоколу и учётным данным, и чтение этих требований — единственный способ узнать, возможен ли здесь туннель до входа. Пользовательский туннель, который стартует при входе, даёт другую гарантию.
Сделайте путь обновления повторяемым: найдите профиль, который уже управляется, сохраните предполагаемые пользовательские настройки, примените совместимое определение и сообщите понятный результат. Создание нового профиля при каждом обновлении политики — это путь к машине с пятью записями и пользователем, который выбирает не ту.
Запись, которая сохраняет это поддерживаемым
В передачу входят три ответа: как новое выданное устройство получает первое подключение, кто вправе менять пакет и как администратор откатывается из несовместимого изменения. Когда они записаны, развёртывание больше не зависит от того, у кого уже есть доступ, который нужно предоставить.
Храните эту запись рядом с версией пакета и обновляйте обе в одном изменении. Иначе следующий человек восстановит bootstrap-путь по заявке, закрытой год назад.