Nedostaje grupna politika na VPN-u? Provjerite obim prije tunela

Nešto što je djelovalo na uredskoj mreži prestaje djelovati one sedmice kada korisnik počne raditi preko VPN-a, a tunel bude kriv prije nego što iko otvori izvještaj. Grupna politika određuje koje postavke stižu na Windows korisnika i računar, preuzima materijal iz domena i izvršava obradu na strani klijenta, a ta tri koraka ne uspijevaju na tri različita načina. Tunel mijenja samo to koju putanju klijent ima. Redovno prolazak kroz provjere sprječava da se problem s dozvolama za datoteke lovi kao problem s rutiranjem.

Počnite s postavkom, a ne s tunelom

Zapišite jednu očekivanu GPO i jednu konkretnu postavku u njoj, pa odlučite da li ta postavka pripada korisničkoj ili računarskoj konfiguraciji. To pretpostavlja ovlašteni Windows klijent pridružen domenu na odobrenom VPN-u, a ne neupravljani ili isključivo cloud uređaj koji se pretvara u člana domena. Odgovor o obimu odlučuje ko može čitati rezultat i da li je potrebno podizanje prava, zato to riješite prije nego što bilo šta pokrenete.

Pitajte administratora domena koja veza, lokacija objekta, sigurnosni filteri i WMI filteri treba da budu u igri. Mijenjanje tih kontrola da bi test prošao je drugi projekat s drugim vlasnikom.

Čitajte izvještaj s računom kojem postavka pripada

U vlastitoj sesiji pogođenog korisnika pokrenite whoami /user i zatim gpresult /scope user /r. Račun koji je autentificirao VPN nije automatski onaj Windows račun čiju politiku čitate, a provjera iz administratorskog računa odgovara na drugo pitanje. Sačuvajte osnovno stanje pod novim imenom datoteke, na primjer %TEMP%\vpn-policy-user-before.html. referenca za gpresult dokumentuje prekidače za obim i izlaz, i vrijedi znati da generisanje izvještaja ništa ne osvježava.

Računarska politika ima svoj obim i kontekst dozvola, zato je pregledajte odvojeno s potrebnim podizanjem prava. Spajanje oba obima u jedan izvještaj je način da se korisnička postavka proglasi nedostajućom kad nikada nije bila u tom obimu.

Otkrivanje nije pristup: prvo SRV zapisi, pa SMB

S povezanim odobrenim VPN-om potvrdite da klijent razrješava kontrolere domena kroz predviđenu DNS putanju; javni sajt koji se učita ne govori ništa o otkrivanju kontrolera. Za primjer domena corp.example nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example odgovara na pitanje koje zaista imate. Vraćeni zapis usluge je samo dokaz otkrivanja, jer adresa odabranog kontrolera i dalje mora biti dostupna uz potrebnu autentifikaciju i dozvoljene usluge direktorija. Materijal politike zatim dolazi iz SYSVOL-a, što je SMB čitanje prema tom konkretnom kontroleru, a ne ICMP test.

Slabiji dokazi lako se zamijene za dokaz. ICMP odgovor s kontrolera, pored odbijenog čitanja predloška politike, daje izvještaj koji izgleda prazan zbog razloga koji još niko nije povezao.

Držite dozvole AD usluga, povratne putanje i vremensku sinhronizaciju postavljanja usklađenim, umjesto da ih zamijenite sveobuhvatnim otvaranjem firewall-a ili javnim DNS serverom. Podaci politike koji se razlikuju među kontrolerima su pitanje replikacije za vlasnika direktorija.

Jedno osvježavanje, dva izvještaja, jedno poređenje

Kad je putanja dokazana, zatražite odgovarajuće osvježavanje s gpupdate /target:user i pročitajte rezultat umjesto da ga pretpostavite. Podrazumijevano osvježavanje primjenjuje izmijenjenu politiku, dok /force traži ponovnu primjenu; nijedno ne popravlja DNS, dozvole za datoteke ni filtriranje. Neka proširenja završavaju tek pri kasnijoj prijavi ili drugom događaju u prvom planu, pa jedno pokretanje nije presuda. Dodavanje prekidača za odjavu ili restart u sesiju udaljenog korisnika kao rutinsku dijagnostiku odbacuje ono što je imao otvoreno.

Generišite drugi izvještaj pod drugim imenom datoteke i uporedite vrijeme obrade, očekivanu GPO, njen primijenjeni ili odbijeni status i samu postavku. Izvještaj iz ranije uspješne sesije ne dokazuje ništa o ovom osvježavanju. Politika koja je filtrirana ukazuje na primjenjivost, a ne na transport, što mijenja to ko posjeduje sljedeći korak.

Vežite neuspjeh za jednu jedinu aktivnost

U Event Vieweru počnite s upozorenjem ili greškom grupne politike u sistemskom dnevniku, zatim prijeđite na operativni dnevnik GroupPolicy pod Dnevnicima aplikacija i usluga. Filtrirajte taj operativni dnevnik po identifikatoru aktivnosti osvježavanja koje ste upravo pokrenuli, jer novo osvježavanje dobija novi identifikator, a miješanje s jučerašnjim događajima daje samouvjeren i pogrešan zaključak. Zapišite vrijeme, kontekst korisnika ili računara, odabrani kontroler, GPO, kod greške i neuspjelu zavisnost.

Taj zapis je ono na što vlasnik mreže ili direktorija može djelovati. Biti povezan na VPN i pokrenuti gpupdate nekoliko puta nisu dokazi, i nijedno od toga ne preživi primopredaju.

Držite HTML izvještaje privatnim, jer otkrivaju interne nazive, članstva u grupama i sigurnosnu konfiguraciju. Kad se postavka potvrdi, uklonite privremene dozvole koje ste dodali umjesto da ih ostavite na mjestu.