VPN でグループ ポリシーが見つからない？トンネルより先にスコープを確認

オフィス ネットワークで適用されていた設定が、ユーザーが VPN 経由で作業を始めた週に適用されなくなり、誰かがレポートを開く前にトンネルが疑われます。グループ ポリシーは、どの設定を Windows のユーザーとコンピューターに届けるかを管理し、ドメインから材料を取得し、クライアント側の処理を実行しますが、この三つの手順はそれぞれ別の形で失敗します。トンネルが変えるのはクライアントの経路だけです。チェックを順番にたどれば、ファイルのアクセス許可の問題をルーティングの問題として追いかける事態を避けられます。

トンネルではなく設定から始める

想定される GPO を一つと、その中の具体的な設定を一つ書き出し、その設定がユーザーの構成にあるのかコンピューターの構成にあるのかを決めます。これは 承認された VPN 上の、ドメイン参加済みで許可された Windows クライアント を前提としており、ドメイン メンバーに変える管理対象外やクラウド専用のデバイスではありません。スコープの答えが、結果を読める人と昇格が必要かどうかを決めるため、何かを実行する前に確定してください。

ドメイン管理者に、どのリンク、オブジェクトの場所、セキュリティ フィルター、WMI フィルターが有効であるべきかを尋ねます。テストを通すためにこれらの制御を変えるのは、別の所有者による別のプロジェクトです。

設定を所有するアカウントでレポートを読む

影響を受けているユーザー自身のセッションで whoami /user を実行し、続いて gpresult /scope user /r を実行します。VPN を認証したアカウントは、読んでいるポリシーの Windows アカウントとは限らず、管理者アカウントからの確認は別の問いに答えることになります。基準となる状態は %TEMP%\vpn-policy-user-before.html のような新しいファイル名で保存します。gpresult のリファレンス にはスコープと出力のスイッチが記載されており、レポートを生成しても何も更新されない点は知っておく価値があります。

コンピューターのポリシーには独自のスコープとアクセス許可のコンテキストがあるため、必要な昇格を行って別に確認します。両方のスコープを一つのレポートにまとめると、そのスコープに一度も入っていないユーザー設定が欠落していると宣言されることになります。

検出はアクセスではない：まず SRV レコード、次に SMB

承認された VPN を接続した状態で、クライアントが想定した DNS 経路でドメイン コントローラーを解決することを確認します。公開ウェブサイトが読み込めることはコントローラーの検出について何も語りません。例示したドメイン corp.example では、nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example が本当に知りたい問いに答えます。返されたサービス レコードは検出の証拠にすぎません。選択されたコントローラーのアドレスに、必要な認証と許可されたディレクトリ サービスで到達できる必要があるからです。ポリシーの材料はその後 SYSVOL から届きますが、これはその特定のコントローラーに対する SMB の読み取りであり、ICMP のテストではありません。

弱い証拠は証明と取り違えられがちです。コントローラーからの ICMP 応答と、ポリシー テンプレートの読み取り拒否が並ぶと、まだ誰も結び付けていない理由で空に見えるレポートが出来上がります。

展開の AD サービス許可、戻り経路、時刻同期を整合させておき、包括的なファイアウォール開放や公開 DNS サーバーで置き換えないでください。コントローラー間で異なるポリシー データは、ディレクトリの所有者にとってレプリケーションの問題です。

一回の更新、二つのレポート、一つの比較

経路が証明できたら、gpupdate /target:user で該当する更新を要求し、結果を仮定せずに読みます。既定の更新は変更されたポリシーを適用し、/force は再適用を要求しますが、どちらも DNS、ファイルのアクセス許可、フィルター処理を修復しません。拡張機能によっては次のサインインや別のフォアグラウンド イベントでしか完了しないため、一回の実行は判定ではありません。リモート ユーザーのセッションにログオフや再起動のスイッチを日常的な診断として加えるのは、そのユーザーが開いていたものを捨てることになります。

別のファイル名で 二つ目のレポートを生成し、処理時刻、想定される GPO、適用または拒否の状態、そして設定そのものを比較します。以前の成功したセッションのレポートは、この更新について何も証明しません。フィルターで除外されたポリシーは転送ではなく適用可能性を示しており、次の手順の担当者が変わります。

障害を一つのアクティビティに結び付ける

イベント ビューアーでは、システム ログのグループ ポリシーの警告またはエラーから始め、次にアプリケーションとサービス ログの下にある GroupPolicy の操作ログへ移ります。その操作ログを、いま実行した更新のアクティビティ識別子でフィルター処理します。新しい更新には新しい識別子が付くため、昨日のイベントと混ぜると自信に満ちた誤った結論になります。時刻、ユーザーまたはコンピューターのコンテキスト、選択されたコントローラー、GPO、エラー コード、失敗した依存関係を記録します。

その記録こそが、ネットワークまたはディレクトリの所有者が行動できる材料です。VPN に接続していて gpupdate を何度か実行したという事実は証拠にならず、どちらも引き継ぎに耐えません。

HTML レポートは内部名、グループ メンバーシップ、セキュリティ構成を露出するため、非公開にしてください。設定が確認できたら、追加した一時的なアクセス許可はそのままにせず削除します。