Pripojenie k VPN znovu nespustí váš prihlasovací skript

Váš používateľ sa prihlási doma, pripojí VPN a čaká na mapovanie jednotky, ktoré sa predtým v kancelárii objavilo samo. Tunel sa zdvihne, doména odpovedá a nič sa nemapuje. Nič nie je pokazené: prihlasovací skript beží pri prihlásení a tunel otvorený dvadsať minút po začiatku relácie nie je prihlásenie. Čítať oboje ako jednu udalosť posiela ľudí hľadať poruchu VPN, ktorá neexistuje.

Štyri rozhodnutia menia prekvapenie na postup, ktorý sa správa správne, a prvé je jednoducho vedieť, na ktorých udalostiach skript stojí.

Skripty stoja na udalostiach životného cyklu, ktoré nemožno prehrať

Zásady na strane počítača sa uplatnia pri štarte stroja a zásady na strane používateľa pri prihlásení niekoho, zatiaľ čo obnova na pozadí prechádza tie isté nastavenia bez toho, aby čokoľvek reštartovala. Táto obnova spracuje rozšírenie skriptov, ale znovu nespustí jednotlivé skripty, ktoré sa spúšťajú len pri štarte, vypnutí, prihlásení alebo odhlásení. Preto gpupdate /force môže hlásiť úspech, aj keď mapovanie stále chýba, a čistá obnova nie je dôkaz, že skript niečo urobil.

Referenčná dokumentácia Microsoftu k spracovaniu zásad vytyčuje presne túto hranicu medzi spracovaním rozšírenia a spustením toho, čo obsahuje, a je to stránka, na ktorú sa odkazuje, keď niekto tvrdí, že obnova mala skript prehrať.

Nie každý skript zlyhá aj offline. Ten, ktorý číta len miestny alebo cachovaný materiál, mohol čiastočne uspieť, kým ten, ktorý siaha na zdieľaný prostriedok, zlyhá ticho a nezanechá zjavnú stopu. Skontrolujte skutočnú cestu skriptu a na čo dosiahne, než obviníte sieť. Rovnakú kontrolu si zaslúži každé tvrdenie, že sa skript pri prihlásení nespúšťa, pretože prácu môže robiť naplánovaná úloha alebo akcia klienta tam, kam sa nikto nepozerá.

Pripojte prácu k pripojeniu, nie k prihláseniu

Za slovom prihlasovací skript sa skrývajú tri rôzne úlohy: namapovať jednotku po tom, čo sa používateľ pripojí, uplatniť konfiguráciu stroja skôr, než sa niekto prihlási, a stiahnuť aktualizované zásady. Majú rôzne termíny a len tá druhá skutočne potrebuje pripojenie pred prihlásením. Napíšte požiadavku ako vetu s termínom, napríklad: toto mapovanie musí existovať do minúty od zdvihnutia tunela.

Na prácu, ktorá musí nastať po pripojení, použite úlohu spúšťanú pripojením alebo akciu pripojenia, ktorú klient podporuje. Skontrolujte, ktorú udalosť klient skutočne vysiela, pretože udalosť, ktorú vyvolá natívny klient Windows VPN, nevyvolá klient tretej strany. Pre konfiguráciu stroja, ktorá musí predchádzať prihláseniu, je podporovanou odpoveďou tunel zariadenia alebo iný návrh pred prihlásením, nie úloha, ktorá sa spustí, keď sa objaví pracovná plocha. Spustite prácu v identite a relácii, ktoré ju potrebujú, pretože mapovanie vytvorené ako SYSTEM skončí v relácii, ktorú používateľ nikdy nevidí.

Otestujte pripravenosť pred akciou a zlyhávajte nahlas

Udalosť pripojenia môže prísť skôr, než je DNS alebo súborový server použiteľný, takže úloha má testovať, čo potrebuje, namiesto toho, aby predpokladala. Preložte konkrétne meno, skúste konkrétne pripojenie a opakujte s limitom a prodlevou: Resolve-DnsName files.corp.example v krátkej slučke oddeľuje ešte-nie od nikdy. Po poslednom pokuse nahláste konkrétne zlyhanie, s menom a chybou v ňom.

Nekonečná slučka bez záznamu je nerozoznateľná od úlohy, ktorá sa nikdy nezačala, a skrýva rozdiel medzi zastaranými povereniami a pravidlom firewallu.

Overte štyri veci a potom to urobte opakovateľným

Počas pilotu zaznamenajte štyri pozorovania namiesto jedného: udalosť pripojenia nastala, úloha začala, prostriedok odpovedal a požadovaná zmena sa skutočne uplatnila. Ak sa záznam zastaví pri úloha začala, skutočné zlyhanie zostane neviditeľné, nech čakáte akokoľvek dlho. Potom spustite gpresult /scope user /v, aby ste videli, akú politiku si relácia myslí, že má, a porovnajte to s nastavením, ktoré ste očakávali. Správa, ktorá uvádza GPO ako aplikovanú, stále nič nehovorí o mapovaní.

Skôr než prácu rozšírite, urobte ju bezpečnou na opakovanie, pretože klient sa znova pripojí a úloha sa znova spustí. Pred vytvorením skontrolujte, či mapovanie alebo konfigurácia už existuje, a poznačte si, čo ste našli. Zdvojenie práce po každom krátkom opätovnom pripojení je spôsob, akým sa užitočná úloha zmení na incident.

Kde je automatický spúšťač nevhodný, schválená akcia používateľa, ktorá spustí ten istý podpísaný skript, je legitímny návrh. Robí časovanie explicitným namiesto predstierania, že nastala udalosť prihlásenia.