VPN-де топтық саясат жоқ па? Туннельге дейін ауқымды тексеріңіз

Кеңсе желісінде қолданылған нәрсе пайдаланушы VPN арқылы жұмыс істей бастаған аптада қолданылуын тоқтатады, және біреу есепті ашпас бұрын туннель кінәлі болады. Топтық саясат қандай параметрлердің Windows пайдаланушысы мен компьютеріне жететінін анықтайды, материалды доменнен алады және клиент жағында өңдеуді орындайды, ал бұл үш қадам үш түрлі жолмен сәтсіз аяқталады. Туннель тек клиенттің қандай жолы бар екенін өзгертеді. Тексерулерді ретімен өткізу файл рұқсаттары мәселесінің маршруттау мәселесі ретінде қудалануына жол бермейді.

Туннельден емес, параметрден бастаңыз

Бір күтілетін GPO мен оның ішіндегі бір нақты параметрді жазып алыңыз, содан кейін бұл параметрдің пайдаланушы конфигурациясында ма, әлде компьютер конфигурациясында ма екенін шешіңіз. Бұл мақұлданған VPN-де доменге қосылған өкілетті Windows клиентін болжайды, домен мүшесіне айналдырылатын басқарылмайтын немесе тек бұлттық құрылғыны емес. Ауқым туралы жауап нәтижені кім оқи алатынын және құқықтарды көтеру қажет пе екенін анықтайды, сондықтан оны бірдеңе іске қоспас бұрын шешіңіз.

Домен әкімшісінен қандай байланыс, нысан орны, қауіпсіздік сүзгілері және WMI сүзгілері жұмыста болуы керектігін сұраңыз. Тест өтуі үшін бұл басқару элементтерін өзгерту — басқа иесі бар басқа жоба.

Есепті параметр тиесілі тіркелгімен оқыңыз

Әсер етілген пайдаланушының өз сессиясында whoami /user, содан кейін gpresult /scope user /r орындаңыз. VPN-ді аутентификациялаған тіркелгі сіз оқып отырған саясаттың Windows тіркелгісі автоматты түрде емес, және әкімші тіркелгісінен жасалған тексеру басқа сұраққа жауап береді. Базалық күйді жаңа файл атымен сақтаңыз, мысалы %TEMP%\vpn-policy-user-before.html. gpresult анықтамасы ауқым мен шығыс ажыратқыштарын сипаттайды, және есеп жасау ештеңені жаңартпайтынын білу пайдалы.

Компьютер саясатының өз ауқымы мен рұқсат контексті бар, сондықтан оны қажетті құқық көтерумен бөлек тексеріңіз. Екі ауқымды бір есепке біріктіру — пайдаланушы параметрі сол ауқымда ешқашан болмағанымен жоқ деп жарияланатын жол.

Анықтау — қатынас емес: алдымен SRV жазбалары, содан кейін SMB

Мақұлданған VPN қосылған күйде клиенттің домен контроллерлерін көзделген DNS жолымен шешетінін растаңыз; жүктелетін жария сайт контроллерлерді анықтау туралы ештеңе айтпайды. Мысал домен corp.example үшін nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example шынымен бар сұраққа жауап береді. Қайтарылған қызмет жазбасы тек анықтау дәлелі, өйткені таңдалған контроллердің мекенжайы әлі де қажетті аутентификациямен және рұқсат етілген каталог қызметтерімен қолжетімді болуы керек. Саясат материалы содан кейін SYSVOL-дан келеді, бұл дәл сол контроллерге қатысты SMB оқуы, ICMP тесті емес.

Әлсіз дәлелді дәлел деп қателесу оңай. Контроллерден келген ICMP жауабы саясат үлгісінің қабылданбаған оқылуының қасында, әзірге ешкім байланыстырмаған себептен бос көрінетін есеп тудырады.

Орналастырудың AD қызмет рұқсаттарын, қайтару жолдарын және уақыт синхрондауын келісімді ұстаңыз, оларды жалпыға ортақ желілік қорғаныс ашумен немесе жария DNS серверімен алмастырмаңыз. Контроллерлер арасында ерекшеленетін саясат деректері каталог иесі үшін репликация мәселесі.

Бір жаңарту, екі есеп, бір салыстыру

Жол дәлелденгеннен кейін тиісті жаңартуды gpupdate /target:user арқылы сұрап, нәтижені болжаудың орнына оқыңыз. Әдепкі жаңарту өзгерген саясатты қолданады, ал /force қайта қолдануды сұрайды; екеуі де DNS, файл рұқсаттары немесе сүзгілеуді жөндей алмайды. Кейбір кеңейтімдер тек кейінгі кіруде немесе алдыңғы пландағы басқа оқиғада аяқталады, сондықтан бір рет іске қосу үкім емес. Қашықтағы пайдаланушының сессиясына шығу немесе қайта жүктеу ажыратқыштарын күнделікті диагностика ретінде қосу оның ашық ұстағанын лақтырады.

Басқа файл атымен екінші есеп жасаңыз және өңдеу уақытын, күтілетін GPO-ны, оның қолданылған немесе қабылданбаған мәртебесін және параметрдің өзін салыстырыңыз. Бұрынғы сәтті сессияның есебі бұл жаңарту туралы ештеңе дәлелдемейді. Сүзгіден өтпей қалған саясат тасымалдауға емес, қолданылу мүмкіндігіне нұсқайды, бұл келесі қадам кімдікі екенін өзгертеді.

Сәтсіздікті бір ғана әрекетке байланыстырыңыз

Оқиғаларды қарау құралында жүйелік журналдағы топтық саясат ескертуінен немесе қатесінен бастаңыз, содан кейін Қолданбалар мен қызметтер журналдары астындағы GroupPolicy операциялық журналына өтіңіз. Сол операциялық журналды жаңа ғана іске қосқан жаңартудың әрекет идентификаторы бойынша сүзіңіз, өйткені жаңа жаңарту жаңа идентификатор алады және оны кешегі оқиғалармен араластыру сенімді әрі қате қорытынды береді. Уақытты, пайдаланушы немесе компьютер контекстін, таңдалған контроллерді, GPO-ны, қате кодын және сәтсіз тәуелділікті жазып алыңыз.

Осы жазба — желі немесе каталог иесі әрекет ете алатын нәрсе. VPN-ге қосылған болу және gpupdate-ті бірнеше рет іске қосу дәлел емес, және екеуі де тапсырудан өтпейді.

HTML есептерін құпия ұстаңыз, өйткені олар ішкі атауларды, топ мүшелігін және қауіпсіздік конфигурациясын ашады. Параметр расталғаннан кейін қосылған уақытша рұқсаттарды орнында қалдырмай, алып тастаңыз.