VPN-ზე ჯგუფური პოლიტიკა აკლია? შეამოწმეთ ფარგლები გვირაბამდე

რაც საოფისე ქსელში მოქმედებდა, იმ კვირაში წყვეტს მოქმედებას, როცა მომხმარებელი VPN-ით მუშაობას იწყებს, და გვირაბს ადანაშაულებენ მანამ, სანამ ვინმე ანგარიშს გახსნის. ჯგუფური პოლიტიკა წყვეტს, რომელი პარამეტრები მიაღწევს Windows-ის მომხმარებელსა და კომპიუტერს, იღებს მასალას დომენიდან და ასრულებს კლიენტის მხარეს დამუშავებას, და ეს სამი ნაბიჯი სამი განსხვავებული გზით ფუჭდება. გვირაბი მხოლოდ იმას ცვლის, რა გზა აქვს კლიენტს. შემოწმებების რიგრიგობით გავლა ხელს უშლის იმას, რომ ფაილის ნებართვების პრობლემა მარშრუტიზაციის პრობლემად იქნას დევნილი.

დაიწყეთ პარამეტრით და არა გვირაბით

ჩაწერეთ ერთი მოსალოდნელი GPO და მასში ერთი კონკრეტული პარამეტრი, შემდეგ გადაწყვიტეთ, მომხმარებლის კონფიგურაციაშია ეს პარამეტრი თუ კომპიუტერის კონფიგურაციაში. ეს ვარაუდობს ავტორიზებულ, დომენში გაწევრიანებულ Windows კლიენტს დამტკიცებულ VPN-ზე, და არა აუდიტირებელ ან მხოლოდ ღრუბლოვან მოწყობილობას, რომელსაც დომენის წევრად აქცევენ. ფარგლებზე პასუხი წყვეტს, ვის შეუძლია შედეგის წაკითხვა და საჭიროა თუ არა უფლებების ამაღლება, ამიტომ ეს დააზუსტეთ სანამ რამეს გაუშვებთ.

ჰკითხეთ დომენის ადმინისტრატორს, რომელი კავშირი, ობიექტის მდებარეობა, უსაფრთხოების ფილტრები და WMI ფილტრები უნდა იყოს მოქმედებაში. ამ კონტროლების შეცვლა ტესტის გასავლელად სხვა პროექტია სხვა მფლობელით.

წაიკითხეთ ანგარიში იმ ანგარიშით, რომელსაც პარამეტრი ეკუთვნის

დაზარალებული მომხმარებლის საკუთარ სესიაში გაუშვით whoami /user და შემდეგ gpresult /scope user /r. ანგარიში, რომელმაც VPN ავთენტიფიცირა, ავტომატურად არ არის ის Windows ანგარიში, რომლის პოლიტიკასაც კითხულობთ, და ადმინისტრატორის ანგარიშიდან შემოწმება სხვა კითხვას პასუხობს. შეინახეთ საწყისი მდგომარეობა ახალი ფაილის სახელით, მაგალითად %TEMP%\vpn-policy-user-before.html. gpresult-ის ცნობარი აღწერს ფარგლებისა და გამოტანის გადამრთველებს, და ღირს იცოდეთ, რომ ანგარიშის შექმნა არაფერს აახლებს.

კომპიუტერის პოლიტიკას აქვს საკუთარი ფარგლები და ნებართვების კონტექსტი, ამიტომ შეამოწმეთ იგი ცალკე საჭირო უფლებების ამაღლებით. ორივე ფარგლის ერთ ანგარიშში შეერთება ის გზაა, რომლითაც მომხმარებლის პარამეტრი დაკარგულად გამოცხადდება მაშინ, როცა ის არასოდეს ყოფილა ამ ფარგლებში.

აღმოჩენა წვდომა არ არის: ჯერ SRV ჩანაწერები, შემდეგ SMB

დამტკიცებული VPN-ის მიერთებული მდგომარეობით დაადასტურეთ, რომ კლიენტი დომენის კონტროლერებს გადაწყვეტს განზრახული DNS გზით; ჩატვირთული საჯარო ვებსაიტი კონტროლერების აღმოჩენაზე არაფერს ამბობს. საილუსტრაციო დომენისთვის corp.example, nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example პასუხობს იმ კითხვას, რომელიც ნამდვილად გაქვთ. დაბრუნებული სერვისის ჩანაწერი მხოლოდ აღმოჩენის მტკიცებულებაა, რადგან არჩეული კონტროლერის მისამართი მაინც უნდა იყოს მისაწვდომი საჭირო ავთენტიფიკაციითა და დაშვებული კატალოგის სერვისებით. პოლიტიკის მასალა შემდეგ SYSVOL-იდან მოდის, რაც SMB კითხვაა სწორედ იმ კონტროლერის მიმართ და არა ICMP ტესტი.

სუსტი მტკიცებულება ადვილად აირია მტკიცებულებად. კონტროლერის ICMP პასუხი, პოლიტიკის შაბლონის უარყოფილი კითხვის გვერდით, ქმნის ანგარიშს, რომელიც ცარიელი ჩანს იმ მიზეზით, რომელიც ჯერ არავის დაუკავშირებია.

შეინარჩუნეთ განლაგების AD სერვისის ნებართვები, დაბრუნების გზები და დროის სინქრონიზაცია შეთანხმებული, ნაცვლად იმისა, რომ ისინი შეცვალოთ ფართო ქსელური დაცვის გახსნით ან საჯარო DNS სერვერით. კონტროლერებს შორის განსხვავებული პოლიტიკის მონაცემები რეპლიკაციის საკითხია კატალოგის მფლობელისთვის.

ერთი განახლება, ორი ანგარიში, ერთი შედარება

გზის დამტკიცების შემდეგ მოითხოვეთ შესაბამისი განახლება gpupdate /target:user-ით და წაიკითხეთ შედეგი ვარაუდის ნაცვლად. ნაგულისხმევი განახლება ცვლილებულ პოლიტიკას იყენებს, ხოლო /force ხელახალ გამოყენებას ითხოვს; არც ერთი არ არეგულირებს DNS-ს, ფაილის ნებართვებს ან ფილტრაციას. ზოგიერთი გაფართოება მხოლოდ მოგვიანებით შესვლისას ან სხვა წინა პლანის მოვლენაზე სრულდება, ამიტომ ერთი გაშვება განაჩენი არ არის. დისტანციური მომხმარებლის სესიაზე გასვლის ან გადატვირთვის გადამრთველების დამატება რუტინულ დიაგნოსტიკად ყრის იმას, რაც მას გახსნილი ჰქონდა.

შექმენით მეორე ანგარიში სხვა ფაილის სახელით და შეადარეთ დამუშავების დრო, მოსალოდნელი GPO, მისი გამოყენებული ან უარყოფილი სტატუსი და თავად პარამეტრი. წინა წარმატებული სესიის ანგარიში ამ განახლებაზე არაფერს ამტკიცებს. გაფილტრული პოლიტიკა მიუთითებს გამოყენებადობაზე და არა ტრანსპორტზე, რაც ცვლის იმას, ვის ეკუთვნის შემდეგი ნაბიჯი.

მიაბით ჩავარდნა ერთ აქტივობას

მოვლენების მთვალიერში დაიწყეთ სისტემის ჟურნალში არსებული ჯგუფური პოლიტიკის გაფრთხილებით ან შეცდომით, შემდეგ გადადით GroupPolicy-ის ოპერაციულ ჟურნალზე აპლიკაციებისა და სერვისების ჟურნალების ქვეშ. გაფილტრეთ ეს ოპერაციული ჟურნალი ახლახან გაშვებული განახლების აქტივობის იდენტიფიკატორით, რადგან ახალი განახლება ახალ იდენტიფიკატორს იღებს და მისი გუშინდელ მოვლენებთან შერევა თავდაჯერებულ და მცდარ დასკვნას იძლევა. ჩაწერეთ დრო, მომხმარებლის ან კომპიუტერის კონტექსტი, არჩეული კონტროლერი, GPO, შეცდომის კოდი და ჩავარდნილი დამოკიდებულება.

ეს ჩანაწერია ის, რაზეც ქსელის ან კატალოგის მფლობელს შეუძლია იმოქმედოს. VPN-ზე მიერთებული ყოფნა და gpupdate-ის რამდენჯერმე გაშვება მტკიცებულება არ არის, და არც ერთი მათგანი არ უძლებს გადაცემას.

შეინახეთ HTML ანგარიშები კონფიდენციალურად, რადგან ისინი ამჟღავნებენ შიდა სახელებს, ჯგუფურ წევრობას და უსაფრთხოების კონფიგურაციას. პარამეტრის დადასტურების შემდეგ წაშალეთ დამატებული დროებითი ნებართვები და არ დატოვოთ ისინი ადგილზე.