Rühmareegel VPN-is puudub? Kontrollige enne tunnelit ulatust

Mis kontorivõrgus kehtis, lakkab kehtimast nädalal, mil kasutaja hakkab töötama VPN-i kaudu, ja tunnel saab süü enne, kui keegi aruande avab. Rühmareegel otsustab, millised sätted jõuavad Windowsi kasutajani ja arvutini, toob materjali domeenist ja käivitab kliendipoolse töötlemise, ning need kolm sammu ebaõnnestuvad kolmel erineval viisil. Tunnel muudab ainult seda, milline tee kliendil on. Kontrollide järjestikune läbimine hoiab ära, et failiõiguste probleemi hakatakse taga ajama marsruutimisprobleemina.

Alustage sättest, mitte tunnelist

Kirjutage üles üks oodatav GPO ja üks konkreetne säte selles, seejärel otsustage, kas see säte kuulub kasutajakonfiguratsiooni või arvutikonfiguratsiooni. See eeldab volitatud domeeniga liidetud Windowsi klienti heakskiidetud VPN-is, mitte haldamata või ainult pilvepõhist seadet, millest tehakse domeeniliige. Ulatuse vastus otsustab, kes tohib tulemust lugeda ja kas on vaja õiguste tõstmist, seega otsustage see enne, kui midagi käivitada.

Küsige domeeniadministraatorilt, milline link, objekti asukoht, turbefiltrid ja WMI-filtrid peaksid mängus olema. Nende juhtelementide muutmine, et test läbi läheks, on teine projekt teise omanikuga.

Lugege aruannet kontoga, kellele säte kuulub

Käivitage mõjutatud kasutaja enda seansis whoami /user ja seejärel gpresult /scope user /r. Konto, mis VPN-i autentis, ei ole automaatselt see Windowsi konto, mille reeglit te loete, ja administraatori kontolt tehtud kontroll vastab teisele küsimusele. Salvestage lähteseisund uue failinime alla, näiteks %TEMP%\vpn-policy-user-before.html. gpresulti viide kirjeldab ulatuse ja väljundi lüliteid, ja tasub teada, et aruande genereerimine ei värskenda midagi.

Arvutireeglil on oma ulatus ja õiguste kontekst, seega uurige seda eraldi vajaliku õiguste tõstmisega. Mõlema ulatuse ühte aruandesse kokku panemine on viis, kuidas kasutajasäte kuulutatakse puuduvaks, kuigi see ei olnud kunagi selles ulatuses.

Avastamine ei ole juurdepääs: esmalt SRV-kirjed, seejärel SMB

Kui heakskiidetud VPN on ühendatud, kinnitage, et klient lahendab domeenikontrollerid kavandatud DNS-tee kaudu; avanev avalik veebileht ei ütle kontrollerite avastamise kohta midagi. Illustreeriva domeeni corp.example puhul vastab nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example küsimusele, mis teil tegelikult on. Tagastatud teenusekirje on ainult avastamistõend, sest valitud kontrolleri aadress peab endiselt olema kättesaadav nõutava autentimise ja lubatud kataloogiteenustega. Reegli materjal saabub seejärel SYSVOL-ist, mis on SMB-lugem just selle kontrolleri vastu ja mitte ICMP-test.

Nõrgemat tõendit aetakse kergesti segi tõendiga. Kontrolleri ICMP-vastus koos reeglimalli tagasilükatud lugemisega annab aruande, mis näib tühi põhjusel, mida keegi veel kokku ei ole viinud.

Hoidke kasutuselevõtu AD-teenuse õigused, tagasiteed ja ajasünkroonimine kooskõlas, selle asemel et asendada need üldise tulemüüri avamise või avaliku DNS-serveriga. Reegliandmed, mis erinevad kontrollerite vahel, on kataloogiomaniku replikatsiooniküsimus.

Üks värskendus, kaks aruannet, üks võrdlus

Kui tee on tõestatud, taotlege asjakohast värskendust käsuga gpupdate /target:user ja lugege tulemust, selle asemel et seda eeldada. Vaikevärskendus rakendab muudetud reegli, samas kui /force taotleb uuesti rakendamist; kumbki ei paranda DNS-i, failiõigusi ega filtreerimist. Mõned laiendid lõpetavad alles hilisemal sisselogimisel või muul esiplaanisündmusel, seega üks käivitus ei ole otsus. Väljalogimis- või taaskäivituslülitite lisamine kaugkasutaja seansile rutiinse diagnostikana viskab ära selle, mis tal avatud oli.

Looge teine aruanne muu failinime all ja võrrelge töötlemisaega, oodatavat GPO-d, selle rakendatud või keeldutud olekut ja sätet ennast. Varasema õnnestunud seansi aruanne ei tõesta selle värskenduse kohta midagi. Välja filtreeritud reegel osutab kohaldatavusele, mitte transpordile, mis muudab, kellel on järgmine samm.

Siduge tõrge ühe tegevusega

Sündmuste vaaturis alustage süsteemilogis olevast rühmareegli hoiatusest või veast, seejärel liikuge rakenduste ja teenuste logide all olevasse tööloki GroupPolicy. Filtreerige seda tööloki äsja käivitatud värskenduse tegevuse identifikaatori järgi, sest uus värskendus saab uue identifikaatori ja selle eilsete sündmustega segamine annab enesekindla ja vale järelduse. Kirjutage üles aeg, kasutaja või arvuti kontekst, valitud kontroller, GPO, veakood ja ebaõnnestunud sõltuvus.

See kirje on see, mille alusel võrgu- või kataloogiomanik saab tegutseda. VPN-iga ühendatud olemine ja gpupdate mitmekordne käivitamine ei ole tõendid ning kumbki ei ela üle üleandmist.

Hoidke HTML-aruanded privaatsed, sest need paljastavad sisemisi nimesid, rühmaliikmelisusi ja turbekonfiguratsiooni. Kui säte on kinnitatud, eemaldage lisatud ajutised õigused, selle asemel et need paigale jätta.