Групавая палітыка адсутнічае ў VPN? Праверце вобласць дзеяння да тунэля

Нешта, што дзейнічала ў офіснай сетцы, перастае дзейнічаць у тым тыдні, калі карыстальнік пачынае працаваць праз VPN, і тунэль вінавацяць яшчэ да таго, як хтосьці адкрые справаздачу. Групавая палітыка вырашае, якія налады трапляюць на карыстальніка і камп'ютар Windows, бярэ матэрыял з дамена і выконвае апрацоўку на баку кліента, і гэтыя тры крокі адмаўляюць па-рознаму. Тунэль змяняе толькі тое, які шлях мае кліент. Паслядоўнае праходжанне праверак не дае праблеме правоў да файлаў ператварыцца ў праблему маршрутызацыі.

Пачніце з налады, а не з тунэля

Запішыце адну чаканую GPO і адну канкрэтную наладу ў ёй, затым вырашыце, ці гэтая налада знаходзіцца ў Канфігурацыі карыстальніка ці ў Канфігурацыі камп'ютара. Гэта мяркуе аўтарызаваны кліент Windows, далучаны да дамена, у дапушчаным VPN, а не некіраваная прылада або прылада толькі з воблака, якую робяць членам дамена. Адказ пра вобласць дзеяння вызначае, хто можа чытаць вынік і ці патрэбна павышэнне правоў, таму вызначце гэта да таго, як нешта запускаць.

Спытайце адміністратара дамена, якая сувязь, размяшчэнне аб'екта, фільтры бяспекі і фільтры WMI павінны быць задзейнічаны. Змяняць гэтыя сродкі, каб прайшоў тэст, — іншы праект з іншым уладальнікам.

Чытайце справаздачу пад уліковым запісам, якому належыць налада

У ўласным сеансе закранутага карыстальніка выканайце whoami /user, а затым gpresult /scope user /r. Уліковы запіс, які аўтэнтыфікаваў VPN, не аўтаматычна той запіс Windows, чыю палітыку вы чытаеце, і праверка з адміністратарскага запісу адказвае на іншае пытанне. Захавайце базавы стан пад новым імем файла, напрыклад %TEMP%\vpn-policy-user-before.html. даведка па gpresult апісвае перамыкачы вобласці дзеяння і вываду, і варта ведаць, што стварэнне справаздачы нічога не абнаўляе.

Палітыка камп'ютара мае сваю вобласць дзеяння і кантэкст правоў, таму правярайце яе асобна з патрэбным павышэннем правоў. Зліваць абедзве вобласці ў адну справаздачу — гэта шлях да таго, каб наладу карыстальніка абвясцілі адсутнай тады, калі яна ніколі не была ў гэтай вобласці.

Выяўленне — не доступ: спачатку запісы SRV, затым SMB

Пры падключаным дапушчаным VPN пацвердзіце, што кліент разрознівае кантролеры дамена праз прызначаны DNS-шлях; публічны сайт, які загружаецца, нічога не кажа пра выяўленне кантролераў. Для прыкладнага дамена corp.example адказ на пытанне, якое вы сапраўды маеце, дае nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example. Вернуты запіс службы — гэта толькі доказ выяўлення, бо адрас выбранага кантролера ўсё яшчэ павінен быць даступны з патрэбнай аўтэнтыфікацыяй і дазволенымі службамі каталога. Матэрыял палітыкі затым прыходзіць з SYSVOL, а гэта чытанне SMB менавіта да гэтага кантролера, а не тэст ICMP.

Слабейшыя доказы лёгка прыняць за доказ. Адказ ICMP ад кантролера побач з адмоўным чытаннем шаблона палітыкі стварае справаздачу, якая выглядае пустой з прычыны, якую яшчэ ніхто не звязаў.

Трымайце дазволы службаў AD, шляхі вяртання і сінхранізацыю часу разгортвання ўзгодненымі, а не замяняйце іх суцэльным адкрыццём файрвола або публічным DNS-серверам. Даныя палітыкі, якія адрозніваюцца паміж кантролерамі, — пытанне рэплікацыі для ўладальніка каталога.

Адно абнаўленне, дзве справаздачы, адно параўнанне

Калі шлях даказаны, запытайце патрэбнае абнаўленне праз gpupdate /target:user і прачытайце вынік, а не меркуйце яго. Прадвызначанае абнаўленне прымяняе змененую палітыку, а /force запытвае паўторнае прымяненне; ні адно з іх не выпраўляе DNS, правы да файлаў або фільтраванне. Некаторыя пашырэнні завяршаюцца толькі пры наступным уваходзе або іншай падзеі на пярэднім плане, таму адзін запуск — не прысуд. Дадаваць перамыкачы выхаду або перазагрузкі ў сеанс аддаленага карыстальніка як звычайную дыягностыку — значыць выкінуць тое, што ў яго было адкрыта.

Стварыце другую справаздачу пад іншым імем файла і параўнайце час апрацоўкі, чаканую GPO, яе прымянены або адхілены стан і саму наладу. Справаздача з ранейшага паспяховага сеанса нічога не даказвае пра гэтае абнаўленне. Палітыка, адфільтраваная, паказвае на прымяняльнасць, а не на транспарт, што змяняе таго, хто валодае наступным крокам.

Прывязаць збой да адной дзейнасці

У Аглядзе падзей пачніце з папярэджання або памылкі групавой палітыкі ў сістэмным журнале, затым перайдзіце да аперацыйнага журнала GroupPolicy у раздзеле Журналы прыкладанняў і службаў. Адфільтруйце гэты аперацыйны журнал па ідэнтыфікатары дзейнасці абнаўлення, якое вы толькі што запусцілі, бо новае абнаўленне атрымлівае новы ідэнтыфікатар, і змешванне яго з учорашнімі падзеямі дае ўпэўнены і памылковы вывад. Запішыце час, кантэкст карыстальніка або камп'ютара, выбраны кантролер, GPO, код памылкі і памылковую залежнасць.

Гэты запіс — тое, на што можа дзейнічаць уладальнік сеткі або каталога. Быць падключаным да VPN і некалькі разоў запускаць gpupdate — не доказы, і ні адно з гэтага не перажыве перадачу.

Трымайце HTML-справаздачы прыватнымі, бо яны паказваюць унутраныя імёны, членства ў групах і канфігурацыю бяспекі. Пасля пацверджання налады выдаліце часовыя дазволы, якія вы дадалі, а не пакідайце іх на месцы.