Zásady skupiny na VPN chybí? Než obviníte tunel, zkontrolujte rozsah

Něco, co v kancelářské síti platilo, přestane platit v týdnu, kdy uživatel začne pracovat přes VPN, a tunel je obviněn dřív, než někdo otevře zprávu. Zásady skupiny rozhodují, která nastavení doputují k uživateli a počítači s Windows, stahují materiál z domény a spouštějí zpracování na straně klienta, a tyto tři kroky selhávají třemi různými způsoby. Tunel mění jen to, jakou cestu klient má. Projít kontroly popořadě zabrání tomu, aby se problém s oprávněními k souborům honil jako problém s routingem.

Začněte nastavením, ne tunelem

Zapište jednu očekávanou GPO a jedno konkrétní nastavení v ní, pak rozhodněte, zda toto nastavení patří do konfigurace uživatele, nebo do konfigurace počítače. To předpokládá autorizovaného klienta Windows připojeného k doméně na schválené VPN, ne nespravované nebo čistě cloudové zařízení, které se teprve stává členem domény. Odpověď o rozsahu určuje, kdo smí výsledek číst a zda je potřeba zvýšení oprávnění, tak to vyřešte dřív, než cokoli spustíte.

Zeptejte se správce domény, které propojení, umístění objektu, filtry zabezpečení a filtry WMI mají být ve hře. Měnit tyto ovládací prvky, aby test prošel, je jiný projekt s jiným vlastníkem.

Čtěte zprávu pod účtem, kterému nastavení patří

Ve vlastní relaci postiženého uživatele spusťte whoami /user a potom gpresult /scope user /r. Účet, který ověřil VPN, není automaticky ten účet Windows, jehož zásady čtete, a kontrola spuštěná z účtu správce odpovídá na jinou otázku. Uložte výchozí stav pod novým názvem souboru, například %TEMP%\vpn-policy-user-before.html. referenční stránka ke gpresult popisuje přepínače rozsahu a výstupu a stojí za to vědět, že vygenerování zprávy nic neobnoví.

Zásady počítače mají vlastní rozsah a kontext oprávnění, proto je prozkoumejte zvlášť s potřebným zvýšením oprávnění. Sloučit oba rozsahy do jedné zprávy je způsob, jak se nastavení uživatele prohlásí za chybějící, i když v tomto rozsahu nikdy nebylo.

Zjištění není přístup: nejprve záznamy SRV, potom SMB

S připojenou schválenou VPN potvrďte, že klient překládá řadiče domény zamýšlenou cestou DNS; načtený veřejný web nic neříká o zjištění řadičů. Pro ilustrativní doménu corp.example odpovídá nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example na otázku, kterou skutečně máte. Vrácený záznam služby je jen důkaz zjištění, protože adresa vybraného řadiče musí být nadále dostupná s požadovaným ověřením a povolenými adresářovými službami. Materiál zásad pak přichází ze SYSVOL, což je čtení SMB proti právě tomuto řadiči, a ne test ICMP.

Slabší důkazy se snadno pletou s důkazem. Odpověď ICMP z řadiče vedle odmítnutého čtení šablony zásad vytváří zprávu, která vypadá prázdná z důvodu, který zatím nikdo nespojil.

Držte oprávnění služeb AD, zpětné cesty a synchronizaci času nasazení v souladu, místo abyste je nahrazovali plošným otevřením firewallu nebo veřejným serverem DNS. Data zásad, která se mezi řadiči liší, jsou otázka replikace pro vlastníka adresáře.

Jedno obnovení, dvě zprávy, jedno srovnání

Když je cesta prokázaná, vyžádejte příslušné obnovení pomocí gpupdate /target:user a výsledek si přečtěte, místo abyste ho předpokládali. Výchozí obnovení aplikuje změněné zásady, zatímco /force žádá opětovné použití; ani jedno neopraví DNS, oprávnění k souborům ani filtrování. Některá rozšíření se dokončí až při dalším přihlášení nebo jiné události v popředí, takže jedno spuštění není verdikt. Přidávat přepínače pro odhlášení nebo restart do relace vzdáleného uživatele jako rutinní diagnostiku znamená zahodit, co měl otevřené.

Vygenerujte druhou zprávu pod jiným názvem souboru a porovnejte dobu zpracování, očekávanou GPO, její použitý nebo zamítnutý stav a samotné nastavení. Zpráva z dřívější úspěšné relace nic nedokazuje o tomto obnovení. Zásada, která byla odfiltrována, ukazuje na použitelnost, a ne na přenos, což mění, kdo vlastní další krok.

Připoutejte selhání k jediné aktivitě

V Prohlížeči událostí začněte upozorněním nebo chybou zásad skupiny v systémovém protokolu, potom přejděte k operačnímu protokolu GroupPolicy pod Protokoly aplikací a služeb. Filtrujte tento operační protokol podle identifikátoru aktivity obnovení, které jste právě spustili, protože nové obnovení dostane nový identifikátor a jeho smíchání se včerejšími událostmi dává sebejistý a špatný závěr. Zapište čas, kontext uživatele nebo počítače, vybraný řadič, GPO, kód chyby a selhanou závislost.

Tento záznam je to, na co může vlastník sítě nebo adresáře reagovat. Být připojený k VPN a spustit gpupdate několikrát nejsou důkazy a ani jedno nepřežije předání.

Držte zprávy HTML v soukromí, protože odhalují interní názvy, členství ve skupinách a konfiguraci zabezpečení. Jakmile je nastavení potvrzeno, odeberte dočasná oprávnění, která jste přidali, místo abyste je nechali na místě.