Groepsbelied ûntbrekt op VPN? Kontrolearje it berik foar de tunnel

Wat op it kantoarnetwurk gou, hâldt op te jilden yn 'e wike dat in brûker oer VPN begjint te wurkjen, en de tunnel krijget de skuld foardat immen in rapport iepenet. It groepsbelied bestimt hokker ynstellingen by de Windows-brûker en -kompjûter telâne komme, hellet it materiaal by it domein wei en fiert de ferwurking oan klantzijde út, en dy trije stappen misse op trije ferskillende manieren. De tunnel feroaret allinnich hokker paad de klant hat. It op folchoarder ôfwurkjen fan de kontrôles foarkomt dat in triemrjochtenprobleem as in routingprobleem efterfolge wurdt.

Begjin by de ynstelling, net by de tunnel

Skriuw ien ferwachte GPO en ien konkrete ynstelling dêryn op, en beslis dan oft dy ynstelling yn Brûkerskonfiguraasje of Kompjûterkonfiguraasje heart. Dat ferûnderstelt in autorisearre Windows-klant dy't oan it domein keppele is op in goedkarde VPN, net in net-beheard of allinnich yn 'e wolk steand apparaat dat ta domeinlid makke wurdt. It antwurd oer it berik bepaalt wa't it resultaat lêze mei en oft ferheging nedich is, dus regel dat foardat jo wat ek útfiere.

Freegje de domeinbehearder hokker keppeling, objektlokaasje, feilichheidsfilters en WMI-filters yn it spul wêze moatte. It feroarjen fan dy kontrôles om in test te heljen is in oar projekt mei in oare eigner.

Lês it rapport mei it akkount dêr't de ynstelling by heart

Fier yn 'e eigen sesje fan de troffen brûker whoami /user en dêrnei gpresult /scope user /r út. It akkount dat de VPN autentisearre hat, is net automatysk it Windows-akkount waans belied jo lêze, en in kontrôle fan in behearderakkount ôf beantwurdet in oare fraach. Bewarje de basisline ûnder in nije triemnamme, lykas %TEMP%\vpn-policy-user-before.html. De gpresult-referinsje dokumintearret de skakelaars foar berik en útfier, en it is de muoite wurdich te witten dat it meitsjen fan in rapport neat ferfrisset.

Kompjûterbelied hat syn eigen berik en rjochtenkontekst, ûndersykje it dêrom apart mei de ferheging dy't it nedich hat. Beide berikken yn ien rapport gearfoegje is de manier wêrop in brûkersynstelling as ûntbrekkend ferklearre wurdt wylst dy nea yn dat berik wie.

Untdekking is gjin tagong: earst SRV-records, dan SMB

Mei de goedkarde VPN ferbûn, befêstigje dat de klant domeinbehearders fia it bedoelde DNS-paad oplost; in iepenbiere webside dy't ladedt seit neat oer it ûntdekken fan behearders. Foar it foarbylddomein corp.example beantwurdet nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example de fraach dy't jo echt hawwe. In weromjûn tsjinstrecord is allinnich bewiis fan ûntdekking, want it adres fan de keazen behearder moat noch hieltyd berikber wêze mei de fereaske autentikaasje en tastiene gidsstsjinsten. Beliedsmateriaal komt dan fan SYSVOL, dat is in SMB-lêzing tsjin dy spesifike behearder en gjin ICMP-test.

Swakker bewiis wurdt maklik foar bewiis oansjoen. In ICMP-antwurd fan in behearder njonken in wegere lêzing fan in beliedssjabloan leveret in rapport op dat leech liket om in reden dy't noch nimmen ferbûn hat.

Hâld de AD-tsjinstrjochten, weromrûtes en tiidsyngronisaasje fan de útrulling gearhingjend, yn stee fan se te ferfangen troch in brede fjoerwâlopening of in iepenbiere DNS-tsjinner. Beliedsgegevens dy't tusken behearders ferskille binne in replikaasjefraach foar de eigner fan de gids.

Ien ferfrissing, twa rapporten, ien ferliking

As it paad bewiisd is, freegje dan de relevante ferfrissing oan mei gpupdate /target:user en lês it resultaat yn stee fan it oan te nimmen. De standertferfrissing past feroare belied ta, wylst /force om opnij tapasse freget; gjin fan beide reparearret DNS, triemrjochten of filtering. Guon útwreidingen foltôgje pas by in lettere oanmelding of in oar foargrûnevenemint, dus ien run is gjin feroardieling. Ofmelde- as werstartskakelaars tafoegje oan 'e sesje fan in fiere brûker as rûtinediagnoaze smyt wei wat dy iepen hie.

Meitsje in twadde rapport ûnder in oare triemnamme en ferlykje de ferwurkingstiid, de ferwachte GPO, syn tapaste of wegere status en de ynstelling sels. In rapport út in eardere suksesfolle sesje bewissiget neat oer dizze ferfrissing. In belied dat útfiltre waard wiist op tapasberens yn stee fan op ferfier, wat feroaret wa't de folgjende stap hat.

Keppelje it mislearjen oan ien inkelde aktiviteit

Begjin yn Event Viewer by de warskôging of flater fan groepsbelied yn it systeemlogboek, en gean dan nei it operasjonele logboek GroupPolicy ûnder Logboeken fan tapassings en tsjinsten. Filter dat operasjonele logboek op de aktiviteitsidentifikaasje fan de ferfrissing dy't jo krekt útfierd hawwe, want in nije ferfrissing krijget in nije identifikaasje en it mingen mei de foarfallen fan juster leveret in selsbetrouwen en ferkeard beslút op. Skriuw de tiid, de brûker- of kompjûterkontekst, de keazen behearder, de GPO, de flaterkoade en de mislearre ôfhinklikheid op.

Dat ferslach is wat de netwurk- of gidseigner dwaan kin. Ferbûn wêze oan 'e VPN en gpupdate ferskate kearen útfiere binne gjin bewiis, en gjin fan beide oerlibbet in oerdracht.

Hâld de HTML-rapporten privee, want se lizze ynterne nammen, groepsfinings en feilichheidskonfiguraasje bleat. Sadree't de ynstelling befêstige is, ferwiderje de tydlike rjochten dy't jo tafoege hawwe yn stee fan se stean te litten.