Bootstrap hay GPO: hai con đường cho hồ sơ VPN Windows
Hồ sơ được phân phối qua GPO không thể là cách duy nhất để tới thư mục chia sẻ đang phân phối nó. Tách lần cài đặt đầu tiên khỏi bản cập nhật thường kỳ, và đánh phiên bản cho cả hai cùng nhau.
Đẩy một hồ sơ VPN từ thư mục chia sẻ của miền và mọi thứ chạy tốt, cho tới chiếc laptop không tới được miền. Lúc đó việc phân phối lại phụ thuộc đúng vào kết nối mà hồ sơ tồn tại để tạo ra. Người cầm chiếc laptop ấy ở một nơi mà bàn hỗ trợ không nhìn thấy. Hãy coi lần cài đặt đầu tiên và bản cập nhật thường kỳ là hai con đường riêng trong một gói, vì chúng hỏng theo những cách không có gì chung.
Lần cài đặt đầu tiên là một vấn đề khác
Có hai sự kiện đáng kể, và chỉ một trong số đó xảy ra khi mạng hợp tác. Bảng phân tách chúng theo cái gì sẵn có, cái gì khởi động công việc và thường thì hỏng ở đâu.
| First install | Routine update | |
|---|---|---|
| Network reachable | Something other than the VPN being installed | The domain or a management channel |
| Trigger | Enrollment, imaging, or a prepared package | A policy refresh or a management push |
| Usual failure | No route to the package at all | Duplicate profiles, or a change that silently does nothing |
Một thành phẩm đã được rà soát có thể phục vụ cả hai con đường; giả định về kết nối thì không thể chia sẻ. Một script khởi động giấu giả định đó khi nó chạy trên bàn làm việc trong mạng công ty, và phơi bày nó ở hiện trường. Script không khiếm khuyết, chỉ là bị yêu cầu chạy ở nơi không ai thiết kế cho nó.
Gói phải chứa những gì
Quyết định năm điều trước khi đóng gói: cơ chế hồ sơ Windows nào được hỗ trợ, phạm vi là theo người dùng hay theo thiết bị, chứng chỉ hay thành phần máy khách nào là điều kiện tiên quyết, định nghĩa hồ sơ nói gì và hành động nào áp dụng nó. ProfileXML là cách được hỗ trợ để diễn đạt thiết lập VPN, được phân phối qua CSP VPNv2, và hướng dẫn tuỳ chọn hồ sơ của Microsoft liệt kê những gì nó có thể mang. Bất cứ thứ gì ngoài danh sách đó là quyết định bạn đưa ra ngay tại chỗ.
Tham số của một script phụ trợ thuộc về chính script đó. Những cái tên như xmlFilePath hay AllUserConnection là lựa chọn của một tác giả, không phải chuẩn mà mọi trình cài đặt tuân theo; sao chép chúng sang script khác cho ra một lệnh trông đúng mà không làm gì.
Giữ script và định nghĩa dưới cùng một phiên bản, và rà soát xem cả hai đến từ đâu cùng với quyền của chúng. Một script khởi động có đặc quyền mà tình cờ đọc được từ SYSVOL vẫn chưa được rà soát, và phân phối bằng chính sách không phải là rà soát.
Lấy kết nối đầu tiên
Lần cài đặt đầu tiên diễn ra khi thiết bị vẫn còn tới được bằng cách khác: một mạng đã được phê duyệt, một kênh quản lý sẵn có, hoặc một luồng đăng ký được thiết kế cho việc này. Chứng chỉ và điều kiện tin cậy của phương thức xác thực đã chọn thuộc cùng gói đó, vì không gì lấy được qua một đường hầm chưa tồn tại. Hỏi xem trong ba kênh đó, kênh nào là thật với người dùng này trước khi ai đó hứa một ngày. Một kênh chỉ tồn tại trên giấy sẽ thành một cuộc gọi từ hiện trường.
Ghi lại điều kỹ thuật viên hoặc người dùng thực sự làm ở thời điểm đó. Nếu câu trả lời là bộ phận CNTT kết nối từ xa để trợ giúp, thì con đường cài đặt đầu tiên lặng lẽ phụ thuộc vào một công cụ truy cập từ xa thứ hai mà ai đó cũng phải cung cấp và hỗ trợ.
Cập nhật cần một trạng thái đã biết
Khi máy quay về miền, quy trình miền hoặc quản lý thiết bị thông thường có thể tiếp quản. Lỗi len vào ở phạm vi, vì script khởi động chạy trong ngữ cảnh máy, trong khi hành động đăng nhập của người dùng và hành động quản lý thiết bị có thể khác nhau cả về phạm vi lẫn quyền.
Mục kết nối cho mọi người dùng không phải là đường hầm thiết bị trước khi đăng nhập, bất kể cái tên gợi ý điều gì. Đường hầm thiết bị mang yêu cầu riêng về nền tảng, giao thức và thông tin xác thực, và đọc những yêu cầu đó là cách duy nhất để biết ở đây có thể có đường hầm trước khi đăng nhập hay không. Đường hầm người dùng khởi động lúc đăng nhập đưa ra một bảo đảm khác.
Làm cho con đường cập nhật có thể lặp lại: tìm hồ sơ đã được quản lý, giữ các tuỳ chọn người dùng dự định, áp dụng một định nghĩa tương thích và báo cáo kết quả rõ ràng. Tạo hồ sơ mới ở mỗi lần làm mới chính sách chính là cách một máy kết thúc với năm mục và một người dùng chọn nhầm.
Bản ghi giúp điều này còn được hỗ trợ
Ba câu trả lời thuộc về phần bàn giao: thiết bị mới cấp lấy kết nối đầu tiên bằng cách nào, ai được phép thay đổi gói, và quản trị viên thoái lui khỏi một thay đổi không tương thích ra sao. Khi những điều đó được viết ra, việc triển khai không còn phụ thuộc vào người vốn đã có quyền truy cập cần cấp.
Lưu bản ghi đó cạnh phiên bản gói và cập nhật cả hai trong cùng một thay đổi. Nếu không, người tiếp theo dựng lại đường bootstrap từ một phiếu đã đóng một năm trước.