Skopírovaný rasphone.pbk vymazal ostatné systémové VPN

Nová VPN sa objavila, overovanie fungovalo a VPN tretej strany, ktorá na stroji žila dva roky, zmizla v tom istom reštarte. Nič v protokole nasadenia o tom nehovorilo, pretože sa tým nasadenie vôbec nezaoberalo. Balík nahradil globálnu telefónnu knihu a to druhé pripojenie bol záznam v tomto súbore. Toto je operácia kopírovania, ktorá sa správa presne tak, ako sa operácia kopírovania má správať.

Riešenie nie je lepšia kópia. Riešenie je súbor nekopírovať.

Čo telefónna kniha vlastne obsahuje

Telefónna kniha je kontajner definícií pripojení, nie profil. Záznamy jednotlivých používateľov žijú v profile používateľa a záznamy všetkých používateľov žijú v ceste ProgramData v rozsahu celého stroja, preto nasadenie, ktoré tento súbor zapisuje, zasiahne všetkých miestnych používateľov naraz. Ten istý súbor nesie aj záznamy vytvorené inými dodávateľmi, a odtiaľ pochádza vedľajšia škoda.

Ani definícia pripojenia nie je celý príbeh. Trasy, zásady DNS, materiál dôveryhodnej CA a identitu zabezpečujú samostatní vlastníci.

Zistite, ktorý rozsah profil vlastní

Predtým, ako čokoľvek zapíšete, vypíšte oba rozsahy. Get-VpnConnection vracia záznamy aktuálneho používateľa a Get-VpnConnection -AllUserConnection vracia tie v rozsahu celého stroja a rovnaký názov môže existovať v oboch s odlišným nastavením. Rozhodnite, ktorý rozsah vaše nasadenie vlastní, a zapíšte to, pretože aktualizácia nesprávneho rozsahu nechá používateľa pripájať sa cez starý profil, zatiaľ čo vaša zmena leží v súbore, ktorý nikto nečíta. Naplánovaná úloha bežiaca ako SYSTEM tiež vidí inú sadu profilov než prihlásený používateľ.

Pomenovanie vlastníka je krok, ktorý zabráni ďalšiemu inžinierovi zopakovať kopírovanie celého súboru.

Vytvorte alebo aktualizujte pomenované pripojenie, nič iné

Pre natívny profil Windows Add-VpnConnection vytvorí jeden záznam a -AllUserConnection zvolí rozsah celého stroja. Spustite ho najprv s -WhatIf, aby náhľad skončil vo vašom prepise, a nie v sťažnosti používateľa:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

EAP XML musí prísť odniekiaľ legitímne: exportované z funkčného referenčného profilu alebo vygenerované vašimi nástrojmi správy pre skutočnú bránu. Bez správneho nastavenia dôvery servera sa profil buď pripojí k nesprávnej veci, alebo všade zlyhá, a ani jedno nie je úspešné nasadenie.

Keď záznam už existuje, porovnajte jeho nastavenia a aktualizujte ho pomocou Set-VpnConnection namiesto vymazania a nového vytvorenia. Vymazanie je spôsob, akým funkčná konfigurácia stratí polia, ktoré nikto nedokumentoval, a akým sa nesúvisiace záznamy chytia do širokého čistenia.

Skontrolujte, či existuje druhý systém správy, ktorý pri ďalšej obnove zásad vráti starý profil. Piloty tu zlyhávajú častejšie než pri samotnom cmdleti.

Pilotujte na stroji, ktorý už má inú VPN

Vyberte testovací stroj s nesúvisiacim záznamom v rozsahu celého stroja, nasaďte a potom overte tri veci: nový profil sa objaví v zamýšľanom rozsahu, overovanie dosiahne súkromný prostriedok a nesúvisiaci záznam sa stále pripája. Nasaďte ešte dvakrát a potvrďte, že druhý beh mení len profil, ktorý vlastní. Tá tretia kontrola zachytí balík, ktorý je idempotentný pre svoj záznam a ničivý pre všetko ostatné.

Odstránenie sa riadi rovnakým pravidlom: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection vyradí jeden záznam a zvyšok súboru nechá na pokoji.

Udržujte predchádzajúcu zamýšľanú konfiguráciu dostupnú, aby obmedzené vrátenie znamenalo znova importovať jeden profil, nie obnoviť stav celého stroja.