Bootstrap alebo GPO: dve cesty k profilu VPN pre Windows
Profil distribuovaný cez GPO nemôže byť jediná cesta k zdieľanému priečinku, ktorý ho distribuuje. Oddeľte prvú inštaláciu od bežnej aktualizácie a obe veďte pod jednou verziou.
Nasaďte profil VPN z doménového zdieľaného priečinka a všetko funguje – až do chvíle, keď notebook doménu nedosiahne. Vtedy doručenie závisí práve od pripojenia, kvôli ktorému profil existuje. Človek s tým notebookom je niekde, kam help desk nevidí. Berte prvú inštaláciu a bežnú aktualizáciu ako dve oddelené cesty jedným balíkom, pretože zlyhávajú spôsobmi, ktoré nemajú nič spoločné.
Prvá inštalácia je iný problém
Záležia dve udalosti a iba jedna z nich nastane, keď sieť spolupracuje. Tabuľka ich oddeľuje podľa toho, čo je k dispozícii, čo prácu spustí a ako zvyčajne zlyhá.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Jeden recenzovaný artefakt môže obslúžiť obe cesty; predpoklad o konektivite zdieľať nemožno. Spúšťací skript tento predpoklad skrýva, kým beží na stole v podnikovej sieti, a v teréne ho odhalí. Skript nie je chybný, len sa od neho žiada, aby bežal tam, kde ho nikto nenavrhol.
Čo musí balík obsahovať
Pred zabalením rozhodnite päť vecí: ktorý mechanizmus profilu Windows je podporovaný, či je rozsah na používateľa alebo na zariadenie, ktoré certifikáty alebo klientske komponenty sú predpokladom, čo hovorí definícia profilu a ktorá akcia ju použije. ProfileXML je podporovaný spôsob vyjadrenia nastavení VPN, dodávaný cez CSP VPNv2, a príručka Microsoftu k možnostiam profilu uvádza, čo môže obsahovať. Čokoľvek mimo tohto zoznamu je rozhodnutie, ktoré robíte za pochodu.
Parametre pomocného skriptu patria tomu skriptu. Názvy ako xmlFilePath alebo AllUserConnection sú voľbou jedného autora, nie štandardom, ktorý rešpektuje každý inštalátor; ich skopírovanie do iného skriptu dá príkaz, ktorý vyzerá správne a nič nerobí.
Držte skript a definíciu pod jednou verziou a preverte, odkiaľ obe pochádzajú, spolu s ich oprávneniami. Privilegovaný spúšťací skript, ktorý je náhodou čitateľný zo SYSVOL, stále nie je preverený a distribúcia zásadou nie je recenzia.
Ako získať prvé pripojenie
Prvá inštalácia prebieha, kým je zariadenie ešte dostupné inak: schválenou sieťou, existujúcim kanálom správy alebo procesom registrácie, ktorý je na to určený. Certifikáty a požiadavky na dôveru pre zvolenú metódu overovania patria do toho istého balíka, pretože tunelom, ktorý ešte neexistuje, sa nič stiahnuť nedá. Skôr než niekto sľúbi termín, spýtajte sa, ktorý z tých troch kanálov je pre tohto používateľa skutočný. Kanál, ktorý existuje len na papieri, sa zmení na telefonát z terénu.
Zapíšte, čo technik alebo používateľ v tej chvíli skutočne robí. Ak je odpoveď taká, že sa IT pripája vzdialene, aby pomohlo, potom cesta prvej inštalácie ticho závisí od druhého nástroja na vzdialený prístup, ktorý musí niekto tiež zaobstarať a podporovať.
Aktualizácie potrebujú známy stav
Keď sa stroj dostane do domény, môže prevziať bežný proces domény alebo správy zariadení. Chyby sa vkrádajú v rozsahu, pretože spúšťací skript beží v kontexte stroja, zatiaľ čo akcia prihlásenia používateľa a akcia správy zariadení sa môžu líšiť v rozsahu aj oprávneniach.
Záznam pripojenia pre všetkých používateľov nie je tunel zariadenia pred prihlásením, nech názvy naznačujú čokoľvek. Tunely zariadenia majú vlastné požiadavky na platformu, protokol a prihlasovacie údaje a čítanie týchto požiadaviek je jediný spôsob, ako zistiť, či je tu tunel pred prihlásením možný. Používateľský tunel, ktorý začína pri prihlásení, ponúka inú záruku.
Urobte cestu aktualizácie opakovateľnou: nájdite profil, ktorý je už spravovaný, zachovajte zamýšľané používateľské predvoľby, použite kompatibilnú definíciu a nahláste jasný výsledok. Vytvárať nový profil pri každej obnove zásad je spôsob, ako stroj skončí s piatimi položkami a používateľom, ktorý si vyberie nesprávnu.
Záznam, ktorý to udrží podporovateľné
Do odovzdania patria tri odpovede: ako novo vydané zariadenie získa prvé pripojenie, kto smie meniť balík a ako správca cúvne z nekompatibilnej zmeny. Keď sú zapísané, nasadenie už nezávisí od niekoho, kto už má prístup, ktorý sa má zabezpečiť.
Uložte ten záznam vedľa verzie balíka a oboje aktualizujte v tej istej zmene. Inak ďalší človek znovu postaví bootstrap cestu z tiketu, ktorý bol uzavretý pred rokom.