Bootstrap или GPO: два пута до Windows VPN профила
Профил који се дели преко GPO-а не може бити једини начин да се стигне до дељене фасцикле која га дели. Одвојте прву инсталацију од редовног ажурирања и верзионишите обоје заједно.
Пошаљите VPN профил са доменске дељене фасцикле и све ради – до преносног рачунара који не може да стигне домен. Тада достава зависи управо од везе због које профил и постоји. Особа са тим рачунаром је негде где је подршка не види. Третирајте прву инсталацију и редовно ажурирање као два одвојена пута кроз један пакет, јер оба падају на начине који немају ништа заједничко.
Прва инсталација је други проблем
Битна су два догађаја, а само се један дешава док мрежа сарађује. Табела их раздваја по томе шта је доступно, шта покреће посао и како обично пође наопако.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Један прегледани артефакт може послужити оба пута; претпоставка о повезаности не може се делити. Стартна скрипта крије ту претпоставку док ради на столу у корпоративној мрежи, а на терену је разоткрива. Скрипта није неисправна, само се од ње тражи да ради тамо где је нико није пројектовао.
Шта пакет мора да садржи
Пре паковања одлучите пет ствари: који је механизам Windows профила подржан, да ли је обухват по кориснику или по уређају, који су сертификати или клијентске компоненте предуслов, шта каже дефиниција профила и која радња је примењује. ProfileXML је подржан начин изражавања VPN поставки, достављен кроз VPNv2 CSP, а Microsoft водич кроз могућности профила наводи шта може да садржи. Све изван тог списка одлука је коју доносите у ходу.
Параметри помоћне скрипте припадају тој скрипти. Називи попут xmlFilePath или AllUserConnection избор су једног аутора, а не стандард који поштује сваки инсталер; њихово копирање у другу скрипту даје наредбу која изгледа исправно и не чини ништа.
Држите скрипту и дефиницију под једном верзијом и проверите одакле обоје долази, заједно с њиховим овлашћењима. Привилегована стартна скрипта која је случајно читљива из SYSVOL-а још увек није прегледана, а дистрибуција правилником није преглед.
Како до прве везе
Прва инсталација се дешава док је уређај још доступан на неки други начин: одобреном мрежом, постојећим каналом управљања или поступком уписа осмишљеним за то. Сертификати и захтеви поверења за изабрани метод провере припадају истом пакету, јер се кроз тунел који још не постоји ништа не може дохватити. Пре него што ико обећа датум, питајте који је од та три канала стваран за овог корисника. Канал који постоји само на папиру постаје телефонски позив са терена.
Запишите шта техничар или корисник у том тренутку заиста ради. Ако је одговор да се ИТ повезује на даљину да би помогао, тада пут прве инсталације тихо зависи од другог алата за даљински приступ који неко такође мора да обезбеди и подржава.
Ажурирања траже познато стање
Када рачунар стигне до домена, преузимање може да преузме уобичајени доменски поступак или поступак управљања уређајима. Грешке се увлаче у обухвату, јер стартна скрипта ради у контексту рачунара, док се радња пријаве корисника и радња управљања уређајима могу разликовати и по обухвату и по овлашћењима.
Унос везе за све кориснике није тунел уређаја пре пријаве, шта год називи сугерисали. Тунели уређаја носе сопствене захтеве за платформу, протокол и акредитиве, а читање тих захтева једини је начин да сазнате да ли је тунел пре пријаве овде могућ. Кориснички тунел који почиње при пријави нуди другачију гаранцију.
Учините пут ажурирања поновљивим: пронађите профил који се већ управља, задржите намераване корисничке поставке, примените компатибилну дефиницију и пријавите јасан резултат. Стварање новог профила при сваком освежавању правилника начин је на који рачунар заврши са пет уноса и корисником који одабере погрешан.
Запис који то одржава подрживим
У примопредају иду три одговора: како ново издат уређај добија прву везу, ко сме да мења пакет и како администратор излази из некомпатибилне промене. Кад су записани, увођење више не зависи од некога ко већ има приступ који треба обезбедити.
Похраните тај запис уз верзију пакета и ажурирајте обоје у истој промени. Иначе следећа особа поново гради bootstrap пут из захтева који је затворен пре годину дана.