VPN-n irekitako talde-politika falta da? Egiaztatu irismena tunela baino lehen

Bulegoko sarean aplikatzen zen zerbait aplikatzeari uzten dio erabiltzaile bat VPN bidez lanean hasten den astean, eta tunelak erruduna jasaten du inork txostena ireki aurretik. Talde-politikak erabakitzen du zein ezarpen iristen diren Windows erabiltzaile eta ordenagailura, domeinutik materiala ekartzen du eta bezero aldeko prozesamendua exekutatzen du, eta hiru urrats horiek hiru modu ezberdinetan huts egiten dute. Tunelak bezeroak duen bidea baino ez du aldatzen. Egiaztapenak ordenan egiteak fitxategi-baimenen arazoa bideratze-arazo gisa ez jazartzea lortzen du.

Hasi ezarpenarekin, ez tunelarekin

Idatzi espero den GPO bat eta haren barruko ezarpen zehatz bat, eta gero erabaki ezarpen hori Erabiltzaile konfigurazioan edo Ordenagailu konfigurazioan dagoen. Horrek suposatzen du VPN onartu batean domeinuari atxikitako Windows bezero baimendua, eta ez domeinu-kide bihurtzen den kudeatu gabeko gailu bat edo hodeian soilik dagoena. Irismenari buruzko erantzunak erabakitzen du nork irakur dezakeen emaitza eta ea baimen-igoera behar den, beraz, erabaki hori ezer exekutatu aurretik.

Galdetu domeinuaren administratzaileari zein lotura, objektu-kokapen, segurtasun-iragazki eta WMI iragazki egon behar duten jokoan. Kontrol horiek proba bat gainditze aldera aldatzea beste jabe bat duen beste proiektu bat da.

Irakurri txostena ezarpenaren jabea den kontuarekin

Kaltetutako erabiltzailearen beraren saioan, exekutatu whoami /user eta gero gpresult /scope user /r. VPN autentifikatu zuen kontua ez da automatikoki irakurtzen ari zaren politikaren Windows kontua, eta administratzaile kontu batetik egindako egiaztapenak beste galdera bati erantzuten dio. Gorde oinarrizko egoera fitxategi-izen berri batekin, adibidez %TEMP%\vpn-policy-user-before.html. gpresult erreferentzia irismen eta irteera etengailuak deskribatzen ditu, eta jakitea merezi du txosten bat sortzeak ez duela ezer freskatzen.

Ordenagailu-politikak bere irismena eta baimen-testuingurua ditu, beraz, aztertu bereiz behar duen baimen-igoerarekin. Bi irismenak txosten bakarrean biltzea da erabiltzaile-ezarpen bat falta dela deklaratzeko modua, inoiz irismen horretan egon ez bazen ere.

Aurkikuntza ez da sarbidea: lehenengo SRV erregistroak, gero SMB

Onartutako VPN konektatuta, berretsi bezeroak domeinu-kontrolatzaileak aurreikusitako DNS bideaz ebazten dituela; kargatzen den webgune publiko batek ez du ezer esaten kontrolatzaileen aurkikuntzaz. corp.example domeinu ilustratiboarentzat, nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example erantzuten dio benetan duzun galderari. Itzultzen den zerbitzu-erregistroa aurkikuntza-froga soila da, hautatutako kontrolatzailearen helbidea behar den autentifikazioarekin eta baimendutako direktorio-zerbitzuekin irisgarria izan behar baita oraindik. Politika-materiala gero SYSVOL-etik iristen da, hau da, kontrolatzaile zehatz horren aurkako SMB irakurketa eta ez ICMP proba.

Froga ahulagoa erraza da frogatzat hartzea. Kontrolatzaile baten ICMP erantzunak, politika-txantiloi baten irakurketa ukatzearen ondoan, inork oraindik lotu ez duen arrazoi bategatik hutsik dirudien txostena sortzen du.

Eduki bateragarri AD zerbitzu-baimenak, itzulera-bideak eta hedapenaren denbora-sinkronizazioa, suebaki-irekiera orokor edo DNS zerbitzari publiko batekin ordezkatu beharrean. Kontrolatzaileen artean desberdinak diren politika-datuak direktorioaren jabearentzako erreplikazio-kontua dira.

Freskatze bat, bi txosten, konparazio bat

Bidea frogatuta, eskatu dagokion freskatzea gpupdate /target:user erabiliz eta irakurri emaitza suposatu beharrean. Freskatze lehenetsiak politika aldatua aplikatzen du, eta /force berriro aplikatzea eskatzen du; batek ere ez du DNS, fitxategi-baimen edo iragazketa konpontzen. Luzapen batzuk geroagoko saio-hasiera batean edo beste lehen plano bateko gertaera batean baino ez dira amaitzen, beraz, exekuzio bakarra ez da epaia. Urrutiko erabiltzaile baten saioari saioa amaitzeko edo berrabiarazteko etengailuak errutinazko diagnostiko gisa gehitzeak irekita zeukan guztia botatzen du.

Sortu bigarren txosten bat beste fitxategi-izen batekin eta alderatu prozesatze-denbora, espero den GPOa, haren aplikatutako edo ukatutako egoera eta ezarpena bera. Lehenagoko saio arrakastatsu bateko txostenak ez du ezer frogatzen freskatze honi buruz. Iragazitako politika batek aplikagarritasunera jotzen du, ez garraiora, eta horrek aldatzen du hurrengo urratsaren jabea nor den.

Lotu hutsa jarduera bakar bati

Gertaeren ikustailean, hasi sistemaren erregistroko talde-politikaren abisu edo errorearekin, eta gero joan Aplikazio eta zerbitzu erregistroen azpiko GroupPolicy erregistro eragilekora. Iragazi erregistro eragile hori oraintxe exekutatu duzun freskatzearen jarduera-identifikatzailearen arabera, freskatze berri batek identifikatzaile berria jasotzen baitu eta atzoko gertaerekin nahasteak ondorio ziurra eta okerra sortzen du. Idatzi ordua, erabiltzaile edo ordenagailu testuingurua, hautatutako kontrolatzailea, GPOa, errore-kodea eta huts egindako mendekotasuna.

Ohar hori da sarearen edo direktorioaren jabeak jardun dezakeena. VPNari konektatuta egotea eta gpupdate hainbat aldiz exekutatzea ez dira frogak, eta batek ere ez du gainditzen eskualdaketa bat.

Eduki HTML txostenak pribatu, barne-izenak, talde-kidetasunak eta segurtasun-konfigurazioa agerian uzten baitituzte. Ezarpena baieztatu ondoren, kendu gehitu zenituen aldi baterako baimenak, horiek bere horretan utzi beharrean.