Bootstrap eller GPO: två vägar till en Windows-VPN-profil
En profil som distribueras via GPO kan inte vara det enda sättet att nå den delning som distribuerar den. Skilj på första installation och rutinmässig uppdatering, och versionssätt båda tillsammans.
Skjut ut en VPN-profil från en domänresurs och allt fungerar, ända fram till den bärbara dator som inte når domänen. Då beror leveransen på exakt den anslutning som profilen finns för att skapa. Personen med den datorn sitter någonstans där supporten inte ser. Behandla första installation och rutinmässig uppdatering som två separata vägar genom ett paket, eftersom de misslyckas på sätt som inte har något gemensamt.
Första installationen är ett annat problem
Två händelser spelar roll, och bara en av dem inträffar medan nätet samarbetar. Tabellen skiljer dem åt efter vad som är tillgängligt, vad som utlöser arbetet och hur det brukar gå fel.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
En granskad artefakt kan tjäna båda vägarna; antagandet om anslutning kan inte delas. Ett startskript döljer det antagandet så länge det körs på ett skrivbord i företagsnätet, och blottar det i fält. Skriptet är inte felaktigt, det ombeds bara köra där ingen har designat det för att köra.
Vad paketet måste innehålla
Bestäm fem saker innan du paketerar: vilken Windows-profilmekanism som stöds, om omfattningen är per användare eller per enhet, vilka certifikat eller klientkomponenter som är förutsättningar, vad profildefinitionen säger och vilken åtgärd som tillämpar den. ProfileXML är det stödda sättet att uttrycka VPN-inställningar, levererat via VPNv2-CSP:n, och Microsofts guide till profilalternativ listar vad den kan innehålla. Allt utanför den listan är ett beslut du fattar på stående fot.
Ett hjälpskripts parametrar tillhör det skriptet. Namn som xmlFilePath eller AllUserConnection är en författares val och ingen standard som varje installationsprogram respekterar, och kopierar du dem till ett annat skript får du ett kommando som ser rätt ut och inte gör något.
Håll skript och definition under en och samma version, och granska var båda kommer ifrån tillsammans med deras behörigheter. Ett privilegierat startskript som råkar vara läsbart från SYSVOL är fortfarande inte granskat, och distribution via policy är inte en granskning.
Att få den första anslutningen
Den första installationen sker medan enheten fortfarande går att nå på annat sätt: ett godkänt nät, en befintlig hanteringskanal eller ett registreringsflöde som är byggt för detta. Certifikat och förtroendekrav för den valda autentiseringsmetoden hör hemma i samma paket, eftersom inget kan hämtas genom en tunnel som ännu inte finns. Fråga vilken av de tre kanalerna som är verklig för den här användaren innan någon lovar ett datum. En kanal som bara finns på papperet blir ett telefonsamtal från fältet.
Skriv ned vad teknikern eller användaren faktiskt gör i det ögonblicket. Om svaret är att IT kopplar upp på distans för att hjälpa till, då hänger första installationsvägen i tysthet på ett andra fjärråtkomstverktyg som någon också måste tillhandahålla och supporta.
Uppdateringar kräver ett känt tillstånd
När maskinen når domänen kan den vanliga domän- eller enhetshanteringsprocessen ta över. Det är i omfattningen misstagen smyger sig in, för ett startskript körs i maskinkontext, medan en användarinloggningsåtgärd och en enhetshanteringsåtgärd kan skilja sig åt både i omfattning och behörighet.
En anslutningspost för alla användare är inte en enhetstunnel före inloggning, vad namnen än antyder. Enhetstunnlar har egna krav på plattform, protokoll och autentiseringsuppgifter, och att läsa de kraven är det enda sättet att veta om en tunnel före inloggning är möjlig här. En användartunnel som startar vid inloggning ger en annan garanti.
Gör uppdateringsvägen repeterbar: hitta profilen som redan hanteras, behåll de avsedda användarinställningarna, tillämpa en kompatibel definition och rapportera ett tydligt resultat. Att skapa en ny profil vid varje principuppdatering är hur en maskin hamnar med fem poster och en användare som väljer den felaktiga.
Registret som håller det hanterbart
Tre svar hör till överlämningen: hur en nyutlämnad enhet får sin första anslutning, vem som får ändra paketet och hur en administratör backar ur en inkompatibel ändring. Med dem nedskrivna beror utrullningen inte längre på någon som redan har den åtkomst som ska etableras.
Förvara registret bredvid paketversionen och uppdatera båda i samma ändring. Annars bygger nästa person om bootstrap-vägen från ett ärende som stängdes för ett år sedan.