VPN-də Qrup Siyasəti yoxdur? Tuneldən əvvəl əhatə dairəsini yoxlayın

Ofis şəbəkəsində tətbiq olunan bir şey, istifadəçi VPN ilə işləməyə başladığı həftə tətbiq olunmaqdan çıxır və hələ heç kim hesabat açmamış tunel günahkar bilinir. Qrup Siyasəti hansı parametrlərin Windows istifadəçisinə və kompüterinə düşdüyünü idarə edir, materialı domendən götürür və müştəri tərəfində emalı işlədir, və bu üç addım üç fərqli şəkildə uğursuz olur. Tunel yalnız müştərinin hansı yola sahib olduğunu dəyişir. Yoxlamaları ardıcıllıqla keçmək fayl icazəsi probleminin marşrutlaşdırma problemi kimi təqib edilməsinin qarşısını alır.

Tuneldən deyil, parametrdən başlayın

Gözlənilən bir GPO və onun içindəki konkret bir parametr yazın, sonra bu parametrin İstifadəçi Konfiqurasiyasında yoxsa Kompüter Konfiqurasiyasında olduğuna qərar verin. Bu, təsdiqlənmiş VPN üzərində domeynə qoşulmuş səlahiyyətli Windows müştərisini nəzərdə tutur, domeyn üzvünə çevrilən idarə olunmayan və ya yalnız bulud cihazını deyil. Əhatə dairəsi cavabı nəticəni kimin oxuya biləcəyini və imtiyaz artımının lazım olub-olmadığını müəyyən edir, ona görə heç nə işlətməmişdən əvvəl bunu həll edin.

Domen administratorundan hansı keçidin, obyekt yerinin, təhlükəsizlik filtrlərinin və WMI filtrlərinin işdə olmalı olduğunu soruşun. Testin keçməsi üçün bu nəzarətləri dəyişmək başqa sahibi olan başqa bir layihədir.

Hesabatı parametrin sahibi olan hesabla oxuyun

Təsirlənmiş istifadəçinin öz sessiyasında whoami /user və sonra gpresult /scope user /r işlədin. VPN-i autentifikasiya edən hesab, siyasətini oxuduğunuz Windows hesabı avtomatik deyil, və administrator hesabından aparılan yoxlama başqa bir suala cavab verir. Baza vəziyyəti %TEMP%\vpn-policy-user-before.html kimi yeni bir fayl adı ilə saxlayın. gpresult arayışı əhatə və çıxış açarlarını sənədləşdirir və hesabat yaratmağın heç nəyi yeniləmədiyini bilməyə dəyər.

Kompüter siyasətinin öz əhatə dairəsi və icazə konteksti var, ona görə onu lazımi imtiyaz artımı ilə ayrıca yoxlayın. Hər iki əhatə dairəsini bir hesabatda birləşdirmək, istifadəçi parametrinin heç vaxt o dairədə olmadığı halda itkin elan edilməsinin yoludur.

Aşkarlama giriş deyil: əvvəl SRV qeydləri, sonra SMB

Təsdiqlənmiş VPN qoşulmuş halda müştərinin domen nəzarətçilərini nəzərdə tutulan DNS yolu ilə həll etdiyini təsdiqləyin; açılan ictimai veb sayt nəzarətçi aşkarlanması haqqında heç nə demir. Nümunə domen corp.example üçün nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example həqiqətən verdiyiniz suala cavab verir. Qaytarılan xidmət qeydi yalnız aşkarlama sübutudur, çünki seçilmiş nəzarətçinin ünvanına hələ də tələb olunan autentifikasiya və icazə verilmiş kataloq xidmətləri ilə çatmaq lazımdır. Siyasət materialı sonra SYSVOL-dan gəlir, bu da məhz həmin nəzarətçiyə qarşı SMB oxunuşudur və ICMP testi deyil.

Zəif sübutu səhvən sübut sanmaq asandır. Nəzarətçidən gələn ICMP cavabı, siyasət şablonunun rədd edilmiş oxunuşunun yanında, hələ heç kimin əlaqələndirmədiyi bir səbəbdən boş görünən hesabat yaradır.

Yerləşdirmənin AD xidmət icazələrini, qayıdış yollarını və vaxt sinxronizasiyasını bir-birinə uyğun saxlayın, onları hər şeyi açan firewall və ya ictimai DNS serveri ilə əvəz etmək əvəzinə. Nəzarətçilər arasında fərqlənən siyasət məlumatları kataloq sahibi üçün replikasiya məsələsidir.

Bir yeniləmə, iki hesabat, bir müqayisə

Yol sübut olunduqdan sonra müvafiq yeniləməni gpupdate /target:user ilə istəyin və nəticəni fərz etmək əvəzinə oxuyun. Standart yeniləmə dəyişdirilmiş siyasəti tətbiq edir, /force isə yenidən tətbiq tələb edir; heç biri DNS-i, fayl icazələrini və ya filtrləməni bərpa etmir. Bəzi uzantılar yalnız sonrakı girişdə və ya başqa bir ön plan hadisəsində tamamlanır, ona görə bir dəfə işlətmək hökm deyil. Uzaq istifadəçinin sessiyasına rutin diaqnostika kimi çıxış və ya yenidən başlatma açarları əlavə etmək onun açıq saxladığını atır.

Fərqli bir fayl adı ilə ikinci hesabat yaradın və emal vaxtını, gözlənilən GPO-nu, onun tətbiq edilmiş və ya rədd edilmiş statusunu və parametrin özünü müqayisə edin. Əvvəlki uğurlu sessiyadan olan hesabat bu yeniləmə haqqında heç nə sübut etmir. Filtrdən keçməyən siyasət daşınmaya deyil, tətbiq olunabilirliyə işarə edir, bu da növbəti addımın kimə aid olduğunu dəyişir.

Uğursuzluğu tək bir fəaliyyətə bağlayın

Hadisə Görüntüləyicisində Sistem jurnalındakı Qrup Siyasəti xəbərdarlığından və ya xətasından başlayın, sonra Tətbiqlər və Xidmətlər Jurnalları altındakı GroupPolicy əməliyyat jurnalına keçin. Həmin əməliyyat jurnalını təzəcə işlətdiyiniz yeniləmənin fəaliyyət identifikatoruna görə filtrləyin, çünki yeni yeniləmə yeni identifikator alır və onu dünənki hadisələrlə qarışdırmaq inamlı, səhv bir nəticə doğurur. Vaxtı, istifadəçi və ya kompüter kontekstini, seçilmiş nəzarətçini, GPO-nu, xəta kodunu və uğursuz asılılığı qeyd edin.

Bu qeyd şəbəkə və ya kataloq sahibinin üzərində hərəkət edə biləcəyi şeydir. VPN-ə qoşulmaq və gpupdate-i bir neçə dəfə işlətmək sübut deyil və heç biri təhvilə dözmür.

HTML hesabatlarını məxfi saxlayın, çünki onlar daxili adları, qrup üzvlüklərini və təhlükəsizlik konfiqurasiyasını açır. Parametr təsdiqləndikdən sonra əlavə etdiyiniz müvəqqəti icazələri yerində saxlamayın, onları silin.