Vantar hópstefnu á VPN? Athugaðu umfangið fyrir göngin

Eitthvað sem gilti á skrifstofunetinu hættir að gilda í þeirri viku sem notandi byrjar að vinna yfir VPN, og göngunum er kennt um áður en nokkur opnar skýrslu. Hópstefnan ræður því hvaða stillingar lenda á Windows-notandanum og -tölvunni, sækir efnið úr léninu og keyrir vinnsluna á biðlarahlið, og þessi þrjú skref mistakast á þrjá mismunandi vegu. Göngin breyta aðeins því hvaða slóð biðlarinn hefur. Að fara í gegnum athuganirnar í réttri röð kemur í veg fyrir að fylgt sé eftir vandamáli með skráarheimildir sem leiðarvandamáli.

Byrjaðu á stillingunni, ekki göngunum

Skrifaðu niður eina væntanlega GPO og eina ákveðna stillingu í henni, og ákveddu síðan hvort stillingin er í notendastillingu eða tölvustillingu. Þetta gerir ráð fyrir heimildu Windows-biðlara sem er í léninu á samþykktu VPN, ekki óstýrðu eða eingöngu skýjatæki sem er gert að lénsaðila. Svarið um umfangið ræður því hver má lesa niðurstöðuna og hvort þörf er á hækkun réttinda, svo kláraðu það áður en þú keyrir eitthvað.

Spurðu lénstjórnandann hvaða tenging, staðsetning hlutar, öryggissíur og WMI-síur eiga að vera í gangi. Að breyta þessum stýringum svo próf standist er annað verkefni með annan eiganda.

Lestu skýrsluna með þeim reikningi sem stillingin tilheyrir

Í eigin lotu viðkomandi notanda skaltu keyra whoami /user og svo gpresult /scope user /r. Reikningurinn sem auðkenndi VPN er ekki sjálfkrafa sá Windows-reikningur sem þú ert að lesa stefnuna fyrir, og athugun frá stjórnandareikningi svarar annarri spurningu. Vistaðu grunnlínuna undir nýju skráarnafni, til dæmis %TEMP%\vpn-policy-user-before.html. gpresult-tilvísunin lýsir rofunum fyrir umfang og úttak, og það er gott að vita að að búa til skýrslu endurnýjar ekkert.

Tölvustefnan hefur sitt eigið umfang og eigið heimildasamhengi, svo skoðaðu hana sérstaklega með þeirri hækkun sem þarf. Að fella bæði umfangin í eina skýrslu er leiðin sem notendastilling er lýst yfir sem týndri þótt hún hafi aldrei verið í því umfangi.

Uppgötvun er ekki aðgangur: fyrst SRV-færslur, svo SMB

Með samþykktu VPN tengdu skaltu staðfesta að biðlarinn leysi lénsstýringar um fyrirhugaða DNS-slóð; opinber vefsíða sem hleðst segir ekkert um uppgötvun stýringa. Fyrir sýnidæmið corp.example svarar nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example þeirri spurningu sem þú hefur í raun. Skilað þjónustufærsla er aðeins sönnun um uppgötvun, því heimilisfang valinnar stýringar verður enn að vera aðgengilegt með tilskilinni auðkenningu og leyfðum skráarsafnsþjónustum. Stefnaefnið kemur svo frá SYSVOL, sem er SMB-lestur gagnvart þeirri tilteknu stýringu og ekki ICMP-próf.

Auðvelt er að rugla veikari sönnun saman við sönnun. ICMP-svar frá stýringu, við hliðina á synjaðri lestri stefnusniðmáts, framleiðir skýrslu sem virðist tóm af ástæðu sem enginn hefur tengt enn.

Haltu AD-þjónustuheimildum, afturleiðum og tímastillingu uppsetningarinnar samræmdum í stað þess að skipta þeim út fyrir almenna eldveggsopnun eða opinberan DNS-þjón. Stefnaefni sem er mismunandi milli stýringa er endurtökuspurning fyrir eiganda skráarsafnsins.

Ein endurnýjun, tvær skýrslur, einn samanburður

Þegar slóðin er sönnuð skaltu biðja um viðeigandi endurnýjun með gpupdate /target:user og lesa niðurstöðuna í stað þess að gera ráð fyrir henni. Sjálfgefin endurnýjun beitir breyttri stefnu en /force biður um endurbeitingu; hvorug beitir lagfærir DNS, skráarheimildir eða síun. Sumar viðbætur klárast aðeins við síðari innskráningu eða annan atburð í forgrunni, svo ein keyrsla er ekki dómur. Að bæta útskráningar- eða endurræsingarrofum við lotu fjarnotanda sem venjubundna greiningu kastar því sem hann hafði opið.

Búðu til aðra skýrslu undir öðru skráarnafni og berðu saman vinnslutímann, væntanlega GPO, stöðu hennar sem beitt eða synjað og stillinguna sjálfa. Skýrsla frá fyrri farsælli lotu sannar ekkert um þessa endurnýjun. Stefna sem var síuð út bendir á nothæfi frekar en flutning, sem breytir því hver á næsta skref.

Binda bilunina við eina einustu aðgerð

Í Atburðaskoðaranum skaltu byrja á viðvörun eða villu hópstefnu í kerfisannálnum og fara svo í rekstrarannálinn GroupPolicy undir Annálar forrita og þjónustu. Síaðu þann rekstrarannál eftir auðkenni aðgerðar þeirrar endurnýjunar sem þú keyrðir rétt í þessu, því ný endurnýjun fær nýtt auðkenni og að blanda henni við atburði gærdagsins gefur sjálfsörugga og ranga niðurstöðu. Skráðu tímann, samhengi notanda eða tölvu, valda stýringu, GPO, villukóðann og ósigraða háðina.

Sú skráning er það sem eigandi netsins eða skráarsafnsins getur brugðist við. Að vera tengdur VPN og keyra gpupdate nokkrum sinnum er ekki sönnun, og hvorugt stenst afhendingu.

Haltu HTML-skýrslunum leyndum, því þær afhjúpa innri nöfn, hópmeðlimi og öryggisstillingar. Þegar stillingin hefur verið staðfest skaltu fjarlægja tímabundnu heimildirnar sem þú bættir við í stað þess að láta þær vera.