Kebijakan Grup tidak ada di VPN? Periksa cakupan sebelum terowongan

Sesuatu yang berlaku di jaringan kantor berhenti berlaku pada minggu ketika seorang pengguna mulai bekerja melalui VPN, dan terowongan disalahkan sebelum siapa pun membuka laporan. Kebijakan Grup menentukan pengaturan mana yang sampai ke pengguna dan komputer Windows, mengambil materi dari domain, dan menjalankan pemrosesan di sisi klien, dan ketiga langkah itu gagal dengan tiga cara berbeda. Terowongan hanya mengubah jalur yang dimiliki klien. Menjalankan pemeriksaan secara berurutan mencegah masalah izin berkas dikejar sebagai masalah perutean.

Mulai dari pengaturan, bukan terowongan

Tuliskan satu GPO yang diharapkan dan satu pengaturan konkret di dalamnya, lalu putuskan apakah pengaturan itu berada di Konfigurasi Pengguna atau Konfigurasi Komputer. Ini mengasumsikan klien Windows resmi yang tergabung dalam domain pada VPN yang disetujui, bukan perangkat tak terkelola atau hanya-cloud yang dijadikan anggota domain. Jawaban cakupan menentukan siapa yang boleh membaca hasil dan apakah perlu elevasi, jadi selesaikan itu sebelum menjalankan apa pun.

Tanyakan kepada administrator domain tautan, lokasi objek, filter keamanan, dan filter WMI mana yang seharusnya berperan. Mengubah kontrol itu agar sebuah pengujian lolos adalah proyek lain dengan pemilik lain.

Baca laporan dengan akun yang memiliki pengaturan itu

Di sesi pengguna yang terdampak sendiri, jalankan whoami /user lalu gpresult /scope user /r. Akun yang mengautentikasi VPN tidak otomatis akun Windows yang kebijakannya Anda baca, dan pemeriksaan dari akun administrator menjawab pertanyaan lain. Simpan garis dasar dengan nama berkas baru, misalnya %TEMP%\vpn-policy-user-before.html. referensi gpresult mendokumentasikan sakelar cakupan dan keluaran, dan perlu diketahui bahwa membuat laporan tidak menyegarkan apa pun.

Kebijakan komputer memiliki cakupan dan konteks izinnya sendiri, jadi periksa secara terpisah dengan elevasi yang dibutuhkan. Menggabungkan kedua cakupan ke dalam satu laporan adalah cara sebuah pengaturan pengguna dinyatakan hilang padahal tidak pernah berada dalam cakupan itu.

Penemuan bukan akses: catatan SRV dulu, lalu SMB

Dengan VPN yang disetujui tersambung, pastikan klien menyelesaikan pengontrol domain melalui jalur DNS yang dimaksud; situs web publik yang termuat tidak mengatakan apa pun tentang penemuan pengontrol. Untuk domain contoh corp.example, nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example menjawab pertanyaan yang benar-benar Anda miliki. Catatan layanan yang dikembalikan hanyalah bukti penemuan, karena alamat pengontrol terpilih tetap harus dapat dijangkau dengan autentikasi yang diperlukan dan layanan direktori yang diizinkan. Materi kebijakan kemudian datang dari SYSVOL, yaitu pembacaan SMB terhadap pengontrol tersebut dan bukan uji ICMP.

Bukti yang lebih lemah mudah disalahartikan sebagai bukti. Balasan ICMP dari pengontrol, di samping pembacaan templat kebijakan yang ditolak, menghasilkan laporan yang tampak kosong karena alasan yang belum dihubungkan siapa pun.

Jaga agar izin layanan AD, jalur kembali, dan sinkronisasi waktu penerapan tetap konsisten alih-alih menggantinya dengan pembukaan firewall menyeluruh atau server DNS publik. Data kebijakan yang berbeda antarpengontrol adalah pertanyaan replikasi bagi pemilik direktori.

Satu penyegaran, dua laporan, satu perbandingan

Setelah jalur terbukti, minta penyegaran yang relevan dengan gpupdate /target:user dan baca hasilnya alih-alih mengasumsikannya. Penyegaran bawaan menerapkan kebijakan yang berubah sementara /force meminta penerapan ulang; keduanya tidak memperbaiki DNS, izin berkas, atau penyaringan. Beberapa ekstensi hanya selesai pada proses masuk berikutnya atau peristiwa latar depan lain, jadi satu kali jalan bukan putusan. Menambahkan sakelar keluar atau mulai ulang ke sesi pengguna jarak jauh sebagai diagnostik rutin membuang apa pun yang sedang terbuka.

Buat laporan kedua dengan nama berkas berbeda dan bandingkan waktu pemrosesan, GPO yang diharapkan, statusnya yang diterapkan atau ditolak, dan pengaturannya sendiri. Laporan dari sesi sukses sebelumnya tidak membuktikan apa pun tentang penyegaran ini. Kebijakan yang tersaring menunjukkan keberlakuan, bukan transportasi, yang mengubah siapa yang memiliki langkah berikutnya.

Ikat kegagalan pada satu aktivitas saja

Di Penampil Peristiwa, mulai dari peringatan atau galat Kebijakan Grup di log Sistem, lalu pindah ke log operasional GroupPolicy di bawah Log Aplikasi dan Layanan. Saring log operasional itu berdasarkan pengenal aktivitas penyegaran yang baru saja Anda jalankan, karena penyegaran baru mendapat pengenal baru dan mencampurnya dengan peristiwa kemarin menghasilkan kesimpulan yang yakin tetapi salah. Catat waktu, konteks pengguna atau komputer, pengontrol terpilih, GPO, kode galat, dan dependensi yang gagal.

Catatan itulah yang dapat ditindaklanjuti pemilik jaringan atau direktori. Tersambung ke VPN dan menjalankan gpupdate beberapa kali bukan bukti, dan keduanya tidak bertahan dalam serah terima.

Jaga laporan HTML tetap privat, karena laporan itu memaparkan nama internal, keanggotaan grup, dan konfigurasi keamanan. Setelah pengaturan dikonfirmasi, hapus izin sementara yang Anda tambahkan alih-alih membiarkannya.