سیاست گروهی در VPN غایب است؟ پیش از تونل، دامنه را بررسی کنید

چیزی که در شبکه اداری اعمال می‌شد هفته‌ای که کاربری کار روی VPN را آغاز می‌کند از اعمال بازمی‌ایستد، و پیش از آنکه کسی گزارشی باز کند تونل مقصر شناخته می‌شود. خط‌مشی گروهی تعیین می‌کند کدام تنظیم‌ها به کاربر و رایانه ویندوز می‌رسند، مواد را از دامنه می‌گیرد و پردازش سمت سرویس‌گیر را اجرا می‌کند، و این سه گام به سه شکل مختلف شکست می‌خورند. تونل فقط مسیری را که سرویس‌گیر دارد تغییر می‌دهد. بررسی‌ها را به ترتیب پیش بردن مانع می‌شود که مشکل مجوز فایل به‌عنوان مشکل مسیریابی دنبال شود.

با تنظیم شروع کنید، نه با تونل

یک GPO انتظاری و یک تنظیم مشخص درون آن را بنویسید، سپس تصمیم بگیرید که آن تنظیم در پیکربندی کاربر است یا در پیکربندی رایانه. این فرض را دارد که یک سرویس‌گیر مجاز ویندوز که به دامنه پیوسته و روی VPN تأییدشده است در کار است، نه دستگاهی مدیریت‌نشده یا فقط ابری که به عضو دامنه تبدیل می‌شود. پاسخ درباره دامنه تعیین می‌کند چه کسی می‌تواند نتیجه را بخواند و آیا افزایش اختیار لازم است، پس پیش از اجرای هر چیزی این را روشن کنید.

از مدیر دامنه بپرسید کدام پیوند، جای شیء، صافی‌های امنیتی و صافی‌های WMI باید در کار باشند. تغییر دادن این کنترل‌ها برای اینکه یک آزمون قبول شود پروژه‌ای دیگر با مالک دیگر است.

گزارش را با حسابی بخوانید که تنظیم به آن تعلق دارد

در نشست خود کاربر آسیب‌دیده، whoami /user و سپس gpresult /scope user /r را اجرا کنید. حسابی که VPN را تأیید هویت کرده به‌طور خودکار همان حساب ویندوزی نیست که خط‌مشی آن را می‌خوانید، و بررسی از یک حساب مدیر به پرسش دیگری پاسخ می‌دهد. خط پایه را با نام فایلی تازه ذخیره کنید، مانند %TEMP%\vpn-policy-user-before.html. مرجع gpresult سوئیچ‌های دامنه و خروجی را مستند می‌کند، و خوب است بدانید که ساختن گزارش چیزی را بازآوری نمی‌کند.

خط‌مشی رایانه دامنه و بافت مجوز خودش را دارد، پس آن را جداگانه با افزایش اختیار لازم بررسی کنید. جمع کردن هر دو دامنه در یک گزارش همان راهی است که یک تنظیم کاربر غایب اعلام می‌شود درحالی‌که هرگز در آن دامنه نبوده است.

کشف، دسترسی نیست: نخست رکوردهای SRV، سپس SMB

با اتصال VPN تأییدشده، تأیید کنید که سرویس‌گیر کنترل‌کننده‌های دامنه را از مسیر DNS موردنظر تفکیک می‌کند؛ بارگذاری یک وب‌سایت عمومی هیچ چیزی درباره کشف کنترل‌کننده نمی‌گوید. برای دامنه نمونه corp.example، nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example به پرسشی که واقعاً دارید پاسخ می‌دهد. رکورد سرویسی که برگردانده می‌شود تنها شاهد کشف است، زیرا نشانی کنترل‌کننده انتخاب‌شده هنوز باید با احراز هویت لازم و سرویس‌های دایرکتوری مجاز در دسترس باشد. مواد خط‌مشی سپس از SYSVOL می‌آید، که خواندنی SMB روی همان کنترل‌کننده مشخص است و نه آزمون ICMP.

شاهد ضعیف‌تر را به‌راحتی با برهان اشتباه می‌گیرند. پاسخ ICMP از یک کنترل‌کننده، در کنار خواندن ردشده یک قالب خط‌مشی، گزارشی می‌سازد که به دلیلی که هنوز کسی آن را به هم وصل نکرده خالی به نظر می‌رسد.

مجوزهای سرویس AD، مسیرهای بازگشت و همگام‌سازی زمان استقرار را سازگار نگه دارید، نه اینکه آن‌ها را با باز کردن یکجای دیوار آتش یا یک سرور DNS عمومی جایگزین کنید. داده‌های خط‌مشی که میان کنترل‌کننده‌ها متفاوت است پرسشی درباره همانندسازی برای مالک دایرکتوری است.

یک بازآوری، دو گزارش، یک مقایسه

وقتی مسیر اثبات شد، بازآوری مربوط را با gpupdate /target:user درخواست کنید و نتیجه را بخوانید نه اینکه فرضش کنید. بازآوری پیش‌فرض خط‌مشی تغییرکرده را اعمال می‌کند درحالی‌که /force درخواست اعمال دوباره می‌کند؛ هیچ‌کدام DNS، مجوز فایل یا صافی‌گذاری را تعمیر نمی‌کند. برخی افزونه‌ها تنها در ورود بعدی یا رویداد دیگری در پیش‌زمینه کامل می‌شوند، پس یک اجرا حکم نیست. افزودن سوئیچ‌های خروج یا راه‌اندازی دوباره به نشست کاربر دوردست به‌عنوان عیب‌یابی روزمره هر چیزی را که باز داشت دور می‌ریزد.

گزارش دومی با نام فایل دیگر بسازید و زمان پردازش، GPO انتظاری، وضعیت اعمال‌شده یا ردشده آن و خود تنظیم را مقایسه کنید. گزارشی از یک نشست موفق پیشین هیچ چیزی درباره این بازآوری اثبات نمی‌کند. خط‌مشی‌ای که صافی خورده به کاربردپذیری اشاره دارد نه به انتقال، و این تغییر می‌دهد که گام بعدی از آن کیست.

شکست را به یک فعالیت واحد گره بزنید

در نمایشگر رویداد، با هشدار یا خطای خط‌مشی گروهی در گزارش سامانه آغاز کنید، سپس به گزارش عملیاتی GroupPolicy زیر گزارش‌های برنامه‌ها و سرویس‌ها بروید. آن گزارش عملیاتی را با شناسه فعالیت بازآوری‌ای که همین حالا اجرا کردید صافی کنید، زیرا بازآوری تازه شناسه تازه می‌گیرد و آمیختن آن با رویدادهای دیروز نتیجه‌ای مطمئن و نادرست می‌سازد. زمان، بافت کاربر یا رایانه، کنترل‌کننده انتخاب‌شده، GPO، کد خطا و وابستگی شکست‌خورده را ثبت کنید.

همین ثبت است که مالک شبکه یا دایرکتوری می‌تواند بر پایه آن اقدام کند. متصل بودن به VPN و چند بار اجرا کردن gpupdate شاهد نیست، و هیچ‌کدام از این دو از یک تحویل جان سالم به در نمی‌برد.

گزارش‌های HTML را خصوصی نگه دارید، زیرا نام‌های داخلی، عضویت گروه‌ها و پیکربندی امنیتی را آشکار می‌کنند. پس از تأیید تنظیم، مجوزهای موقتی را که افزوده‌اید بردارید نه اینکه سر جایشان بگذارید.