Polisi Grŵp ar goll ar VPN? Gwiriwch y cwmpas cyn y twnnel

Mae rhywbeth a oedd yn berthnasol ar rwydwaith y swyddfa yn peidio â bod yn berthnasol yr wythnos y bydd defnyddiwr yn dechrau gweithio dros VPN, a’r twnnel sy’n cael y bai cyn i unrhyw un agor adroddiad. Polisi Grŵp sy’n penderfynu pa osodiadau sy’n cyrraedd defnyddiwr a chyfrifiadur Windows, yn nôl y deunydd o’r parth ac yn rhedeg y prosesu ar ochr y cleient, ac mae’r tri cham hynny’n methu mewn tair ffordd wahanol. Dim ond pa lwybr sydd gan y cleient y mae’r twnnel yn ei newid. Mae mynd trwy’r gwiriadau yn eu trefn yn atal problem caniatâd ffeil rhag cael ei hela fel problem llwybrau.

Dechreuwch gyda’r gosodiad, nid gyda’r twnnel

Nodwch un GPO a ddisgwylir ac un gosodiad pendant ynddi, wedyn penderfynwch a yw’r gosodiad hwnnw yng Nghyfluniad Defnyddiwr neu yng Nghyfluniad Cyfrifiadur. Mae hyn yn tybio cleient Windows awdurdodedig sydd wedi’i ymuno â’r parth ar VPN a gymeradwywyd, nid dyfais heb ei rheoli neu un sy’n gysylltiedig â’r cwmwl yn unig sy’n cael ei throi’n aelod o’r parth. Yr ateb am y cwmpas sy’n penderfynu pwy all ddarllen y canlyniad ac a oes angen dyrchafiad, felly setlwch hynny cyn rhedeg unrhyw beth.

Gofynnwch i weinyddwr y parth pa gyswllt, pa leoliad gwrthrych, pa hidlwyr diogelwch a pha hidlwyr WMI a ddylai fod ar waith. Mae newid y rheolyddion hynny er mwyn i brawf lwyddo yn brosiect arall gyda pherchennog arall.

Darllenwch yr adroddiad gyda’r cyfrif sy’n berchen ar y gosodiad

Yng sesiwn y defnyddiwr yr effeithir arno, rhedwch whoami /user ac yna gpresult /scope user /r. Nid y cyfrif a ddilysodd y VPN yw’r cyfrif Windows yr ydych yn darllen ei bolisi, yn awtomatig, ac mae gwiriad o gyfrif gweinyddol yn ateb cwestiwn arall. Cadwch y llinell sylfaen o dan enw ffeil newydd, fel %TEMP%\vpn-policy-user-before.html. Mae’r cyfeirnod gpresult yn dogfennu’r newidiadau cwmpas ac allbwn, ac mae’n werth gwybod nad yw cynhyrchu adroddiad yn adnewyddu dim.

Mae gan bolisi cyfrifiadur ei gwmpas a’i gyd-destun caniatâd ei hun, felly archwiliwch ef ar wahân gyda’r dyrchafiad sydd ei angen. Rhoi’r ddau gwmpas mewn un adroddiad yw’r ffordd y caiff gosodiad defnyddiwr ei ddatgan ar goll pan nad oedd erioed yn y cwmpas hwnnw.

Nid darganfod yw mynediad: cofnodion SRV yn gyntaf, yna SMB

Gyda’r VPN a gymeradwywyd wedi’i chysylltu, cadarnhewch fod y cleient yn datrys rheolyddion y parth trwy’r llwybr DNS a fwriadwyd; nid yw gwefan gyhoeddus yn llwytho’n dweud dim am ddarganfod rheolyddion. Ar gyfer y parth enghreifftiol corp.example, mae nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example yn ateb y cwestiwn sydd gennych mewn gwirionedd. Mae cofnod gwasanaeth a ddychwelir yn dystiolaeth ddarganfod yn unig, oherwydd rhaid i gyfeiriad y rheolydd a ddewiswyd fod yn gyrraeddadwy o hyd gyda’r dilysu gofynnol a’r gwasanaethau cyfeiriadur a ganiateir. Yna daw deunydd polisi o SYSVOL, sef darlleniad SMB yn erbyn y rheolydd penodol hwnnw ac nid prawf ICMP.

Mae tystiolaeth wannach yn hawdd ei chamgymryd am brawf. Mae ateb ICMP o reolydd, wrth ymyl darlleniad a wrthodwyd o dempled polisi, yn cynhyrchu adroddiad sy’n edrych yn wag am reswm nad oes neb wedi’i gysylltu eto.

Cadwch ganiatâd gwasanaeth AD, llwybrau dychwelyd a chydamseru amser y defnyddiad yn gyson yn hytrach na’u disodli ag agoriad wal dân cyffredinol neu weinydd DNS cyhoeddus. Mae data polisi sy’n wahanol rhwng rheolyddion yn gwestiwn ailgopïo i berchennog y cyfeiriadur.

Un adnewyddiad, dau adroddiad, un gymhariaeth

Gyda’r llwybr wedi’i brofi, gofynnwch am yr adnewyddiad perthnasol gyda gpupdate /target:user a darllenwch y canlyniad yn lle ei dybio. Mae’r adnewyddiad diofyn yn cymhwyso polisi sydd wedi newid tra bo /force yn gofyn am ailosod; nid yw’r naill na’r llall yn trwsio DNS, caniatâd ffeiliau na hidlo. Mae rhai estyniadau’n gorffen yn unig wrth fewngofnodi diweddarach neu ddigwyddiad arall yn y blaendir, felly nid yw un rhediad yn farn. Mae ychwanegu newidiadau allgofnodi neu ailgychwyn at sesiwn defnyddiwr o bell fel diagnosteg arferol yn taflu beth bynnag oedd ganddo ar agor.

Cynhyrchwch ail adroddiad o dan enw ffeil gwahanol a chymharwch yr amser prosesu, y GPO a ddisgwylir, ei statws wedi’i gymhwyso neu wedi’i wrthod a’r gosodiad ei hun. Nid yw adroddiad o sesiwn lwyddiannus gynharach yn profi dim am yr adnewyddiad hwn. Mae polisi a hidlwyd allan yn pwyntio at gymhwysedd yn hytrach nag at gludiant, sy’n newid pwy sy’n berchen ar y cam nesaf.

Clymwch y methiant wrth un weithgarwch

Yn y Gwyliwr Digwyddiadau, dechreuwch gyda rhybudd neu wall Polisi Grŵp yn y log System, yna symudwch i’r log gweithredol GroupPolicy o dan Logiau Apiau a Gwasanaethau. Hidlwch y log gweithredol hwnnw yn ôl dynodydd gweithgarwch yr adnewyddiad a redwyd gennych yn awr, oherwydd bydd adnewyddiad newydd yn cael dynodydd newydd, ac mae ei gymysgu â digwyddiadau ddoe yn cynhyrchu casgliad hyderus ond anghywir. Cofnodwch yr amser, cyd-destun y defnyddiwr neu’r cyfrifiadur, y rheolydd a ddewiswyd, y GPO, y cod gwall a’r ddibyniaeth a fethodd.

Y cofnod hwnnw yw’r hyn y gall perchennog y rhwydwaith neu’r cyfeiriadur weithredu arno. Nid yw bod wedi’ch cysylltu â’r VPN a bod wedi rhedeg gpupdate sawl gwaith yn dystiolaeth, ac nid yw’r naill na’r llall yn goroesi trosglwyddiad.

Cadwch yr adroddiadau HTML yn breifat, oherwydd maent yn datgelu enwau mewnol, aelodaeth grwpiau a chyfluniad diogelwch. Unwaith y cadarnheir y gosodiad, tynnwch y caniatâd dros dro a ychwanegwyd gennych yn lle eu gadael yn eu lle.