Bootstrap หรือ GPO: สองเส้นทางสำหรับโปรไฟล์ VPN ของ Windows

ผลักโปรไฟล์ VPN จากแชร์ของโดเมนแล้วทุกอย่างก็ทำงาน จนถึงแล็ปท็อปที่เข้าถึงโดเมนไม่ได้ ในตอนนั้นการส่งมอบกลับขึ้นอยู่กับการเชื่อมต่อที่โปรไฟล์มีไว้เพื่อสร้างขึ้น คนที่ถือแล็ปท็อปเครื่องนั้นอยู่ที่ที่ศูนย์ช่วยเหลือมองไม่เห็น จัดการติดตั้งครั้งแรกและการอัปเดตตามปกติเป็นสองเส้นทางแยกกันภายในแพ็กเกจเดียว เพราะทั้งสองล้มเหลวในแบบที่ไม่มีอะไรเหมือนกัน

การติดตั้งครั้งแรกเป็นปัญหาคนละเรื่อง

มีสองเหตุการณ์ที่สำคัญ และมีเพียงเหตุการณ์เดียวที่เกิดขึ้นขณะเครือข่ายให้ความร่วมมือ ตารางแยกทั้งสองตามสิ่งที่มีอยู่ สิ่งที่เริ่มงาน และวิธีที่มักผิดพลาด

สิ่งประดิษฐ์ที่ผ่านการตรวจทานชิ้นเดียวใช้ได้กับทั้งสองเส้นทาง แต่สมมติฐานเรื่องการเชื่อมต่อแบ่งปันกันไม่ได้ สคริปต์เริ่มต้นซ่อนสมมติฐานนั้นตราบที่มันรันอยู่บนโต๊ะในเครือข่ายองค์กร และเปิดโปงมันในภาคสนาม สคริปต์ไม่ได้บกพร่อง เพียงแต่ถูกขอให้รันในที่ที่ไม่มีใครออกแบบไว้

แพ็กเกจต้องมีอะไรบ้าง

ตัดสินห้าอย่างก่อนแพ็กเกจ: กลไกโปรไฟล์ Windows แบบใดที่รองรับ ขอบเขตเป็นรายผู้ใช้หรือรายอุปกรณ์ ใบรับรองหรือองค์ประกอบไคลเอนต์ใดเป็นข้อกำหนดเบื้องต้น นิยามโปรไฟล์บอกอะไร และการกระทำใดนำมันไปใช้ ProfileXML เป็นวิธีที่รองรับในการแสดงการตั้งค่า VPN ซึ่งส่งผ่าน CSP ของ VPNv2 และคู่มือตัวเลือกโปรไฟล์ของ Microsoft ระบุสิ่งที่มันบรรจุได้ ทุกอย่างนอกเหนือจากรายการนั้นคือการตัดสินใจที่คุณทำตรงนั้น

พารามิเตอร์ของสคริปต์ช่วยเหลือเป็นของสคริปต์นั้น ชื่ออย่าง xmlFilePath หรือ AllUserConnection เป็นการเลือกของผู้เขียนคนหนึ่ง ไม่ใช่มาตรฐานที่ตัวติดตั้งทุกรายยึดถือ การคัดลอกไปยังสคริปต์อื่นจะได้คำสั่งที่ดูถูกต้องและไม่ทำอะไรเลย

เก็บสคริปต์และนิยามไว้ใต้เวอร์ชันเดียว และตรวจสอบว่าทั้งสองมาจากไหนพร้อมสิทธิ์ของมัน สคริปต์เริ่มต้นที่มีสิทธิพิเศษซึ่งบังเอิญอ่านได้จาก SYSVOL ก็ยังไม่ผ่านการตรวจทาน และการแจกจ่ายผ่านนโยบายไม่ใช่การตรวจทาน

ได้การเชื่อมต่อครั้งแรก

การติดตั้งครั้งแรกเกิดขึ้นขณะที่ยังเข้าถึงอุปกรณ์ได้ด้วยวิธีอื่น เครือข่ายที่ได้รับอนุมัติ ช่องทางการจัดการที่มีอยู่ หรือกระบวนการลงทะเบียนที่ออกแบบมาเพื่อสิ่งนี้ ใบรับรองและข้อกำหนดความเชื่อถือสำหรับวิธีพิสูจน์ตัวตนที่เลือกอยู่ในแพ็กเกจเดียวกัน เพราะไม่มีอะไรดึงผ่านอุโมงค์ที่ยังไม่มีได้ ถามก่อนว่าในสามช่องทางนี้ ช่องใดเป็นจริงสำหรับผู้ใช้รายนี้ ก่อนที่ใครจะสัญญาวันที่ ช่องทางที่มีอยู่แค่บนกระดาษจะกลายเป็นโทรศัพท์จากภาคสนาม

จดว่าช่างเทคนิคหรือผู้ใช้ทำอะไรจริงในตอนนั้น หากคำตอบคือฝ่ายไอทีเชื่อมต่อทางไกลเพื่อช่วย เส้นทางการติดตั้งครั้งแรกก็แอบขึ้นอยู่กับเครื่องมือเข้าถึงทางไกลตัวที่สองที่ใครบางคนต้องจัดหาและดูแลด้วย

การอัปเดตต้องมีสถานะที่รู้จัก

เมื่อเครื่องเข้าถึงโดเมนได้ กระบวนการโดเมนหรือการจัดการอุปกรณ์ตามปกติก็รับช่วงได้ ข้อผิดพลาดมักเล็ดลอดเข้ามาที่ขอบเขต เพราะสคริปต์เริ่มต้นรันในบริบทของเครื่อง ขณะที่การกระทำตอนล็อกออนของผู้ใช้และการกระทำของการจัดการอุปกรณ์อาจต่างกันทั้งขอบเขตและสิทธิ์

รายการเชื่อมต่อสำหรับผู้ใช้ทุกคนไม่ใช่อุโมงค์อุปกรณ์ก่อนล็อกออน ไม่ว่าชื่อจะบอกเป็นนัยอย่างไร อุโมงค์อุปกรณ์มีข้อกำหนดเรื่องแพลตฟอร์ม โพรโทคอล และข้อมูลรับรองของตัวเอง และการอ่านข้อกำหนดเหล่านั้นเป็นวิธีเดียวที่จะรู้ว่าที่นี่อุโมงค์ก่อนล็อกออนเป็นไปได้หรือไม่ อุโมงค์ผู้ใช้ที่เริ่มตอนล็อกออนให้การรับประกันที่ต่างออกไป

ทำให้เส้นทางการอัปเดตทำซ้ำได้ ค้นหาโปรไฟล์ที่ถูกจัดการอยู่แล้ว รักษาการตั้งค่าผู้ใช้ที่ตั้งใจไว้ ใช้คำนิยามที่เข้ากันได้ และรายงานผลลัพธ์ให้ชัดเจน การสร้างโปรไฟล์ใหม่ทุกครั้งที่รีเฟรชนโยบายคือสาเหตุที่เครื่องลงเอยด้วยรายการห้ารายการและผู้ใช้เลือกผิดอัน

บันทึกที่ทำให้สิ่งนี้ยังได้รับการสนับสนุน

คำตอบสามข้อต้องอยู่ในการส่งมอบงาน: อุปกรณ์ที่ออกใหม่ได้การเชื่อมต่อครั้งแรกอย่างไร ใครได้รับอนุญาตให้เปลี่ยนแพ็กเกจ และผู้ดูแลระบบถอยออกจากการเปลี่ยนแปลงที่ไม่เข้ากันได้อย่างไร เมื่อเขียนสิ่งเหล่านี้ลงไป การติดตั้งใช้งานก็ไม่ขึ้นอยู่กับคนที่มีสิทธิ์เข้าถึงที่จะต้องมอบให้อีกต่อไป

เก็บบันทึกนั้นไว้ข้างเวอร์ชันแพ็กเกจและอัปเดตทั้งสองในการเปลี่ยนแปลงเดียวกัน มิฉะนั้นคนถัดไปจะสร้างเส้นทาง bootstrap ขึ้นใหม่จากตั๋วที่ปิดไปเมื่อปีที่แล้ว