Bootstrap чи GPO: два шляхи до профілю VPN у Windows
Профіль, що поширюється через GPO, не може бути єдиним способом дістатися до спільної папки, яка його поширює. Розділіть перше встановлення й планове оновлення та версіонуйте обидві частини разом.
Надішліть профіль VPN з доменної спільної папки, і все працює — до ноутбука, який не може дістатися домену. У цей момент доставка залежить саме від того з’єднання, заради якого профіль і існує. Людина з цим ноутбуком перебуває там, куди служба підтримки не бачить. Розглядайте перше встановлення й планове оновлення як два окремі шляхи в межах одного пакета, бо вони ламаються з цілком різних причин.
Перше встановлення — це інше завдання
Мають значення дві події, і лише одна з них відбувається, поки мережа сприяє. Таблиця розділяє їх за тим, що доступно, що запускає роботу і як це зазвичай іде не так.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Один перевірений артефакт може обслуговувати обидва шляхи; припущення про зв’язність поділити не можна. Скрипт запуску приховує це припущення, поки працює на столі в корпоративній мережі, і оголює його в полі. Скрипт не дефектний, просто його просять працювати там, де його ніхто не проєктував.
Що повинен містити пакет
Перед пакуванням вирішіть п’ять речей: який механізм профілю Windows підтримується, чи область дії на користувача чи на пристрій, які сертифікати або клієнтські компоненти є обов’язковими, що каже визначення профілю і яка дія його застосовує. ProfileXML — підтримуваний спосіб виражати налаштування VPN, що доставляється через CSP VPNv2, а посібник Microsoft з параметрів профілю перелічує, що він може містити. Усе поза цим списком — рішення, яке ви ухвалюєте на ходу.
Параметри допоміжного скрипта належать цьому скрипту. Назви на кшталт xmlFilePath або AllUserConnection — вибір одного автора, а не стандарт, якого дотримується кожен інсталятор; копіювання їх в інший скрипт дає команду, що виглядає правильно і нічого не робить.
Тримайте скрипт і визначення під однією версією та перевіряйте, звідки обидві частини взялися, разом з їхніми дозволами. Привілейований скрипт запуску, який випадково читається з SYSVOL, усе ще не перевірений, а поширення через політику — не перевірка.
Як отримати перше з’єднання
Перше встановлення відбувається, поки пристрій ще доступний інакше: через схвалену мережу, наявний канал керування або процес реєстрації, створений для цього. Сертифікати й вимоги довіри для обраного способу автентифікації належать до того самого пакета, оскільки через тунель, якого ще немає, нічого не завантажити. Запитайте, який із цих трьох каналів реальний для цього користувача, перш ніж хтось пообіцяє дату. Канал, що існує лише на папері, перетворюється на дзвінок з поля.
Запишіть, що технік або користувач насправді робить у цей момент. Якщо відповідь така, що ІТ підключається віддалено, щоб допомогти, то шлях першого встановлення тихо залежить від другого засобу віддаленого доступу, який комусь теж треба виділити й підтримувати.
Оновленням потрібен відомий стан
Щойно машина потрапляє в домен, звичайний доменний процес або процес керування пристроями може взяти гору. Помилки прокрадаються в області дії, бо скрипт запуску працює в контексті машини, тоді як дія входу користувача й дія керування пристроями можуть різнитися і за областю, і за правами.
Запис з’єднання для всіх користувачів не є тунелем пристрою до входу, хоч би як звучали назви. Тунелі пристрою несуть власні вимоги до платформи, протоколу й облікових даних, і читання цих вимог — єдиний спосіб дізнатися, чи можливий тут тунель до входу. Користувацький тунель, що стартує під час входу, дає іншу гарантію.
Зробіть шлях оновлення повторюваним: знайдіть профіль, який уже керується, збережіть передбачені користувацькі налаштування, застосуйте сумісне визначення і повідомте зрозумілий результат. Створення нового профілю під час кожного оновлення політики — це шлях до машини з п’ятьма записами й користувачем, який обирає не той.
Запис, який зберігає це підтримуваним
У передачу входять три відповіді: як нове видане пристрій отримує перше з’єднання, хто має право змінювати пакет і як адміністратор відкочується з несумісної зміни. Коли вони записані, розгортання більше не залежить від того, у кого вже є доступ, який треба надати.
Зберігайте цей запис поруч із версією пакета і оновлюйте обидва в одній зміні. Інакше наступна людина відновить bootstrap-шлях із заявки, закритої рік тому.