Λείπει η Πολιτική Ομάδας στο VPN; Ελέγξτε το πεδίο εφαρμογής πριν από το τούνελ

Κάτι που ίσχυε στο δίκτυο του γραφείου παύει να ισχύει την εβδομάδα που ένας χρήστης αρχίζει να εργάζεται μέσω VPN, και το τούνελ δέχεται την κατηγορία πριν ανοίξει κανείς αναφορά. Η Πολιτική Ομάδας καθορίζει ποιες ρυθμίσεις φτάνουν στον χρήστη και στον υπολογιστή Windows, αντλεί το υλικό από τον τομέα και εκτελεί την επεξεργασία στην πλευρά του πελάτη, και αυτά τα τρία βήματα αποτυγχάνουν με τρεις διαφορετικούς τρόπους. Το τούνελ αλλάζει μόνο ποια διαδρομή έχει ο πελάτης. Η σειριακή εκτέλεση των ελέγχων εμποδίζει ένα πρόβλημα δικαιωμάτων αρχείων να κυνηγηθεί ως πρόβλημα δρομολόγησης.

Ξεκινήστε από τη ρύθμιση, όχι από το τούνελ

Σημειώστε μία αναμενόμενη GPO και μία συγκεκριμένη ρύθμιση μέσα της και μετά αποφασίστε αν η ρύθμιση ανήκει στη Διαμόρφωση Χρήστη ή στη Διαμόρφωση Υπολογιστή. Αυτό προϋποθέτει εξουσιοδοτημένο πελάτη Windows ενωμένο σε τομέα σε εγκεκριμένο VPN, όχι μια μη διαχειριζόμενη συσκευή ή μια συσκευή που ζει μόνο στο υπολογιστικό νέφος και μετατρέπεται σε μέλος τομέα. Η απάντηση για το πεδίο εφαρμογής καθορίζει ποιος μπορεί να διαβάσει το αποτέλεσμα και αν χρειάζεται αναβάθμιση δικαιωμάτων, οπότε καθορίστε το πριν εκτελέσετε οτιδήποτε.

Ρωτήστε τον διαχειριστή τομέα ποιος σύνδεσμος, ποια θέση αντικειμένου, ποια φίλτρα ασφαλείας και ποια φίλτρα WMI πρέπει να είναι σε ισχύ. Το να αλλάξετε αυτούς τους ελέγχους για να περάσει μια δοκιμή είναι άλλο έργο με άλλον ιδιοκτήτη.

Διαβάστε την αναφορά με τον λογαριασμό που κατέχει τη ρύθμιση

Στη δική του συνεδρία του επηρεαζόμενου χρήστη, εκτελέστε whoami /user και μετά gpresult /scope user /r. Ο λογαριασμός που πιστοποίησε το VPN δεν είναι αυτόματα ο λογαριασμός Windows του οποίου την πολιτική διαβάζετε, και ένας έλεγχος από λογαριασμό διαχειριστή απαντά σε άλλη ερώτηση. Αποθηκεύστε τη βάση αναφοράς με νέο όνομα αρχείου, όπως %TEMP%\vpn-policy-user-before.html. Η αναφορά του gpresult τεκμηριώνει τους διακόπτες πεδίου εφαρμογής και εξόδου, και αξίζει να ξέρετε ότι η δημιουργία αναφοράς δεν ανανεώνει τίποτα.

Η πολιτική υπολογιστή έχει δικό της πεδίο εφαρμογής και δικό της πλαίσιο δικαιωμάτων, οπότε εξετάστε την ξεχωριστά με την αναβάθμιση που απαιτεί. Το να διπλώσετε και τα δύο πεδία σε μία αναφορά είναι ο τρόπος με τον οποίο μια ρύθμιση χρήστη δηλώνεται απούσα ενώ δεν ήταν ποτέ σε αυτό το πεδίο.

Η ανακάλυψη δεν είναι πρόσβαση: πρώτα εγγραφές SRV, μετά SMB

Με συνδεδεμένο το εγκεκριμένο VPN, επιβεβαιώστε ότι ο πελάτης επιλύει ελεγκτές τομέα μέσω της προβλεπόμενης διαδρομής DNS· ένας δημόσιος ιστότοπος που φορτώνει δεν λέει τίποτα για την ανακάλυψη ελεγκτών. Για τον ενδεικτικό τομέα corp.example, το nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example απαντά στην ερώτηση που πραγματικά έχετε. Μια εγγραφή υπηρεσίας που επιστρέφεται είναι μόνο απόδειξη ανακάλυψης, γιατί η διεύθυνση του επιλεγμένου ελεγκτή πρέπει ακόμη να είναι προσβάσιμη με την απαιτούμενη πιστοποίηση και τις επιτρεπόμενες υπηρεσίες καταλόγου. Το υλικό πολιτικής φτάνει μετά από το SYSVOL, που είναι ανάγνωση SMB προς αυτόν τον συγκεκριμένο ελεγκτή και όχι δοκιμή ICMP.

Τα ασθενέστερα στοιχεία μπερδεύονται εύκολα με απόδειξη. Μια απάντηση ICMP από έναν ελεγκτή, δίπλα σε μια απορριφθείσα ανάγνωση προτύπου πολιτικής, παράγει μια αναφορά που φαίνεται κενή για έναν λόγο που κανείς δεν έχει συνδέσει ακόμη.

Κρατήστε συνεπή τα δικαιώματα υπηρεσίας AD, τις διαδρομές επιστροφής και τον συγχρονισμό ώρας της ανάπτυξης, αντί να τα αντικαταστήσετε με ένα γενικό άνοιγμα τείχους προστασίας ή έναν δημόσιο διακομιστή DNS. Δεδομένα πολιτικής που διαφέρουν μεταξύ ελεγκτών είναι ζήτημα αντιγραφής για τον ιδιοκτήτη του καταλόγου.

Μία ανανέωση, δύο αναφορές, μία σύγκριση

Με τη διαδρομή αποδεδειγμένη, ζητήστε την σχετική ανανέωση με gpupdate /target:user και διαβάστε το αποτέλεσμα αντί να το υποθέσετε. Η προεπιλεγμένη ανανέωση εφαρμόζει την αλλαγμένη πολιτική, ενώ το /force ζητά επανεφαρμογή· κανένα από τα δύο δεν διορθώνει DNS, δικαιώματα αρχείων ή φιλτράρισμα. Ορισμένες επεκτάσεις ολοκληρώνονται μόνο σε μεταγενέστερη σύνδεση ή άλλο γεγονός στο προσκήνιο, οπότε μία μόνο εκτέλεση δεν είναι ετυμηγορία. Το να προσθέτετε διακόπτες αποσύνδεσης ή επανεκκίνησης στη συνεδρία ενός απομακρυσμένου χρήστη ως συνήθη διάγνωση πετάει ό,τι είχε ανοιχτό.

Δημιουργήστε δεύτερη αναφορά με διαφορετικό όνομα αρχείου και συγκρίνετε τον χρόνο επεξεργασίας, την αναμενόμενη GPO, την κατάσταση εφαρμογής ή απόρριψής της και την ίδια τη ρύθμιση. Μια αναφορά από προηγούμενη επιτυχημένη συνεδρία δεν αποδεικνύει τίποτα για αυτή την ανανέωση. Μια πολιτική που φιλτραρίστηκε δείχνει καταλληλότητα και όχι μεταφορά, κάτι που αλλάζει ποιος κατέχει το επόμενο βήμα.

Δέστε την αποτυχία σε μία μόνο δραστηριότητα

Στην Προβολή συμβάντων, ξεκινήστε από την προειδοποίηση ή το σφάλμα πολιτικής ομάδας στο αρχείο καταγραφής συστήματος και μετά μεταβείτε στο επιχειρησιακό αρχείο καταγραφής GroupPolicy στις Καταγραφές εφαρμογών και υπηρεσιών. Φιλτράρετε αυτό το επιχειρησιακό αρχείο με το αναγνωριστικό δραστηριότητας της ανανέωσης που μόλις εκτελέσατε, γιατί μια νέα ανανέωση παίρνει νέο αναγνωριστικό και η ανάμειξή του με τα χθεσινά συμβάντα παράγει ένα σίγουρο και λάθος συμπέρασμα. Καταγράψτε την ώρα, το πλαίσιο χρήστη ή υπολογιστή, τον επιλεγμένο ελεγκτή, την GPO, τον κωδικό σφάλματος και την εξάρτηση που απέτυχε.

Αυτή η καταγραφή είναι αυτό πάνω στο οποίο μπορεί να δράσει ο ιδιοκτήτης του δικτύου ή του καταλόγου. Το να είστε συνδεδεμένοι στο VPN και να έχετε εκτελέσει το gpupdate αρκετές φορές δεν είναι αποδείξεις, και κανένα από τα δύο δεν επιβιώνει από μια παράδοση.

Κρατήστε τις αναφορές HTML ιδιωτικές, γιατί εκθέτουν εσωτερικά ονόματα, συμμετοχές σε ομάδες και ρυθμίσεις ασφαλείας. Μόλις επιβεβαιωθεί η ρύθμιση, αφαιρέστε τα προσωρινά δικαιώματα που προσθέσατε αντί να τα αφήσετε στη θέση τους.