Bootstrap ali GPO: dve poti do profila VPN za Windows
Profil, ki se razporeja prek GPO, ne more biti edina pot do mape, ki ga razporeja. Ločite prvo namestitev od redne posodobitve in obe vozite pod eno različico.
Potisnite profil VPN iz domenske mape in vse deluje – vse do prenosnika, ki ne doseže domene. Takrat je dostava odvisna prav od povezave, zaradi katere profil sploh obstaja. Oseba s tem prenosnikom je nekje, kjer pomoč uporabnikom ne vidi. Obravnavajte prvo namestitev in redno posodobitev kot dve ločeni poti skozi en paket, ker spodletita na načine, ki nimajo nič skupnega.
Prva namestitev je drugačen problem
Pomembna sta dva dogodka in le eden se zgodi, ko omrežje sodeluje. Tabela ju loči po tem, kaj je na voljo, kaj delo sproži in kako običajno gre narobe.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
En pregledan artefakt lahko služi obema potema; predpostavke o povezljivosti ni mogoče deliti. Zagonska skripta to predpostavko skriva, dokler teče na pisalni mizi v podjetniškem omrežju, na terenu pa jo razkrije. Skripta ni okvarjena, samo zahtevajo, da teče tam, kjer je nihče ni zasnoval.
Kaj mora paket vsebovati
Pred pakiranjem odločite o petih stvareh: kateri mehanizem profila Windows je podprt, ali je obseg na uporabnika ali na napravo, katera potrdila ali odjemalske komponente so predpogoj, kaj pravi definicija profila in katero dejanje jo uporabi. ProfileXML je podprt način izražanja nastavitev VPN, dostavljen prek CSP VPNv2, in Microsoftov vodnik po možnostih profila našteva, kaj lahko vsebuje. Vse zunaj tega seznama je odločitev, ki jo sprejmete sproti.
Parametri pomožne skripte pripadajo tej skripti. Imena, kot so xmlFilePath ali AllUserConnection, so izbira enega avtorja in ne standard, ki bi ga spoštoval vsak namestitveni program; če jih kopirate v drugo skripto, dobite ukaz, ki izgleda prav in ne naredi ničesar.
Imejte skripto in definicijo pod eno različico ter preverite, od kod prihajata, skupaj z njunimi dovoljenji. Privilegirana zagonska skripta, ki je po naključju berljiva iz SYSVOL, še vedno ni pregledana, distribucija s pravilnikom pa ni pregled.
Kako do prve povezave
Prva namestitev se zgodi, dokler je naprava še dosegljiva kako drugače: odobreno omrežje, obstoječi kanal upravljanja ali postopek vpisa, zasnovan za to. Potrdila in zahteve zaupanja za izbrano metodo preverjanja pripadajo istemu paketu, saj skozi tunel, ki še ne obstaja, ni mogoče ničesar prenesti. Preden kdo obljubi datum, vprašajte, kateri od teh treh kanalov je za tega uporabnika resničen. Kanal, ki obstaja le na papirju, postane telefonski klic s terena.
Zapišite, kaj tehnik ali uporabnik v tistem trenutku dejansko naredi. Če je odgovor, da se IT na daljavo poveže, da pomaga, potem je pot prve namestitve tiho odvisna od drugega orodja za oddaljeni dostop, ki ga mora nekdo prav tako preskrbeti in podpirati.
Posodobitve potrebujejo znano stanje
Ko stroj doseže domeno, lahko prevzame običajni domenski postopek ali postopek upravljanja naprav. Napake se prikradejo pri obsegu, ker zagonska skripta teče v kontekstu stroja, medtem ko se dejanje prijave uporabnika in dejanje upravljanja naprav lahko razlikujeta tako po obsegu kot po dovoljenjih.
Vnos povezave za vse uporabnike ni tunel naprave pred prijavo, ne glede na to, kaj imena nakazujejo. Tuneli naprave imajo svoje zahteve glede platforme, protokola in poverilnic, in branje teh zahtev je edini način, da ugotovite, ali je tunel pred prijavo tukaj mogoč. Uporabniški tunel, ki se začne ob prijavi, ponuja drugo jamstvo.
Naredite pot posodobitve ponovljivo: poiščite profil, ki je že upravljan, ohranite predvidene uporabniške nastavitve, uporabite združljivo definicijo in sporočite jasen rezultat. Ustvarjanje novega profila ob vsaki osvežitvi pravilnika je način, kako stroj konča s petimi vnosi in uporabnikom, ki izbere napačnega.
Zapis, ki to ohranja podprto
V predajo spadajo trije odgovori: kako novo izdana naprava dobi prvo povezavo, kdo sme spreminjati paket in kako administrator izstopi iz nezdružljive spremembe. Ko so zapisani, uvedba ni več odvisna od nekoga, ki že ima dostop, ki ga je treba zagotoviti.
Shranite ta zapis ob različici paketa in oba posodobite v isti spremembi. Sicer naslednja oseba znova zgradi pot bootstrap iz zahtevka, ki je bil zaprt pred letom dni.