Gruppepolitik mangler på VPN? Tjek omfanget før tunnelen

Noget, der gjaldt på kontornettet, holder op med at gælde i den uge, hvor en bruger begynder at arbejde over VPN, og tunnelen får skylden, før nogen åbner en rapport. Gruppepolitik bestemmer, hvilke indstillinger der lander på Windows-brugeren og -computeren, henter materialet fra domænet og kører behandlingen på klientsiden, og de tre trin fejler på tre forskellige måder. Tunnelen ændrer kun, hvilken vej klienten har. At gå kontrollerne igennem i rækkefølge forhindrer, at et filrettighedsproblem bliver jagtet som et routingproblem.

Start med indstillingen, ikke tunnelen

Skriv en forventet GPO og en konkret indstilling i den ned, og afgør derefter, om indstillingen hører til brugerkonfiguration eller computerkonfiguration. Det forudsætter en autoriseret Windows-klient, der er domænetilsluttet, på en godkendt VPN, ikke en uhåndteret eller ren skyenhed, der gøres til domænemedlem. Svaret om omfanget afgør, hvem der kan læse resultatet, og om der kræves forhøjede rettigheder, så afklar det, før du kører noget.

Spørg domæneadministratoren, hvilket link, objektplacering, sikkerhedsfiltre og WMI-filtre der skal være i spil. At ændre de styringer for at få en test til at bestå er et andet projekt med en anden ejer.

Læs rapporten med den konto, der ejer indstillingen

Kør i den berørte brugers egen session whoami /user og derefter gpresult /scope user /r. Den konto, der godkendte VPN, er ikke automatisk den Windows-konto, hvis politik du læser, og en kontrol fra en administratorkonto besvarer et andet spørgsmål. Gem baseline under et nyt filnavn som %TEMP%\vpn-policy-user-before.html. Den gpresult-reference dokumenterer skifterne for omfang og output, og det er værd at vide, at det ikke opdaterer noget at generere en rapport.

Computerpolitik har sit eget omfang og sin egen rettighedskontekst, så undersøg den separat med den forhøjelse, den kræver. At folde begge omfang ind i én rapport er måden, hvorpå en brugerindstilling erklæres manglende, selvom den aldrig var i det omfang.

Opdagelse er ikke adgang: først SRV-poster, så SMB

Med den godkendte VPN forbundet bekræfter du, at klienten opløser domænecontrollere gennem den tilsigtede DNS-vej; et offentligt websted, der indlæses, siger intet om controlleropdagelse. For det illustrative domæne corp.example besvarer nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example det spørgsmål, du faktisk har. En returneret servicepost er kun opdagelsesbevis, fordi den valgte controllers adresse stadig skal kunne nås med den krævede godkendelse og tilladte katalogtjenester. Politikmaterialet kommer derefter fra SYSVOL, hvilket er en SMB-læsning mod netop den controller og ikke en ICMP-test.

Svagere beviser forveksles let med bevis. Et ICMP-svar fra en controller ved siden af en afvist læsning af en politiskabelon giver en rapport, der ser tom ud af en grund, som ingen endnu har forbundet.

Hold udrulningens AD-tjenestetilladelser, returveje og tidssynkronisering sammenhængende i stedet for at erstatte dem med en generel brandmursåbning eller en offentlig DNS-server. Politikdata, der er forskellige mellem controllere, er et replikeringsspørgsmål for katalogejeren.

Én opdatering, to rapporter, én sammenligning

Når vejen er bevist, anmod om den relevante opdatering med gpupdate /target:user og læs resultatet i stedet for at antage det. Standardopdateringen anvender ændret politik, mens /force anmoder om genanvendelse; ingen af dem reparerer DNS, filrettigheder eller filtrering. Nogle udvidelser fuldføres først ved en senere logon eller en anden begivenhed i forgrunden, så en enkelt kørsel er ikke en dom. At tilføje logaf- eller genstartsskiftere til en fjernbrugers session som rutinediagnostik smider det væk, som brugeren havde åbent.

Generér en anden rapport under et andet filnavn, og sammenlign behandlingstiden, den forventede GPO, dens anvendte eller afviste status og selve indstillingen. En rapport fra en tidligere vellykket session beviser intet om denne opdatering. En politik, der blev filtreret fra, peger på anvendelighed snarere end på transport, hvilket ændrer, hvem der ejer næste skridt.

Bind fejlen til en enkelt aktivitet

I Hændelsesfremviser starter du med gruppepolitikadvarslen eller -fejlen i Systemloggen og går derefter til den operationelle log GroupPolicy under Program- og tjenestelogge. Filtrer den operationelle log efter aktivitetsidentifikatoren for den opdatering, du netop har kørt, fordi en ny opdatering får en ny identifikator, og at blande den med gårsdagens hændelser giver en selvsikker og forkert konklusion. Noter tidspunktet, bruger- eller computerkonteksten, den valgte controller, GPO'en, fejlkoden og den mislykkede afhængighed.

Den note er det, netværks- eller katalogejeren kan handle på. At være forbundet til VPN og have kørt gpupdate flere gange er ikke beviser, og ingen af dem overlever en overdragelse.

Hold HTML-rapporterne private, da de afslører interne navne, gruppemedlemskaber og sikkerhedskonfiguration. Når indstillingen er bekræftet, fjern de midlertidige tilladelser, du tilføjede, i stedet for at lade dem blive.