VPN에서 그룹 정책이 보이지 않습니까? 터널보다 범위를 먼저 확인하세요

사무실 네트워크에서 적용되던 설정이 사용자가 VPN으로 작업을 시작한 주에 적용되지 않기 시작하고, 누군가 보고서를 열기도 전에 터널이 의심받습니다. 그룹 정책은 어떤 설정이 Windows 사용자와 컴퓨터에 도달하는지 관리하고, 도메인에서 자료를 가져오며, 클라이언트 쪽 처리를 실행하는데, 이 세 단계는 각각 다른 방식으로 실패합니다. 터널이 바꾸는 것은 클라이언트가 가진 경로뿐입니다. 검사를 순서대로 진행하면 파일 권한 문제를 라우팅 문제로 쫓는 일을 피할 수 있습니다.

터널이 아니라 설정에서 시작하세요

예상되는 GPO 하나와 그 안의 구체적인 설정 하나를 적고, 그 설정이 사용자 구성에 있는지 컴퓨터 구성에 있는지 판단하세요. 이는 승인된 VPN에서 도메인에 가입된 권한 있는 Windows 클라이언트를 전제로 하며, 도메인 구성원으로 바꾸는 관리되지 않는 또는 클라우드 전용 장치가 아닙니다. 범위에 대한 답이 결과를 읽을 수 있는 사람과 권한 상승이 필요한지를 결정하므로, 무엇이든 실행하기 전에 정하세요.

도메인 관리자에게 어떤 링크, 개체 위치, 보안 필터, WMI 필터가 적용되어야 하는지 물으세요. 테스트를 통과시키기 위해 그 제어를 바꾸는 것은 다른 소유자의 다른 프로젝트입니다.

설정을 소유한 계정으로 보고서를 읽으세요

영향을 받는 사용자 자신의 세션에서 whoami /user을 실행한 다음 gpresult /scope user /r을 실행하세요. VPN을 인증한 계정이 곧 읽고 있는 정책의 Windows 계정은 아니며, 관리자 계정에서 수행한 검사는 다른 질문에 답합니다. 기준 상태는 %TEMP%\vpn-policy-user-before.html 같은 새 파일 이름으로 저장하세요.gpresult 참조 는 범위와 출력 스위치를 설명하며, 보고서를 생성해도 아무것도 새로 고쳐지지 않는다는 점을 알아 둘 만합니다.

컴퓨터 정책에는 자체 범위와 권한 컨텍스트가 있으므로 필요한 권한 상승으로 따로 검사하세요. 두 범위를 하나의 보고서로 합치는 것이, 사용자 설정이 그 범위에 한 번도 속한 적이 없는데도 누락되었다고 선언되는 방식입니다.

검색은 액세스가 아닙니다: 먼저 SRV 레코드, 그다음 SMB

승인된 VPN이 연결된 상태에서 클라이언트가 의도한 DNS 경로로 도메인 컨트롤러를 확인하는지 검증하세요. 공개 웹 사이트가 열린다는 것은 컨트롤러 검색에 대해 아무것도 말해 주지 않습니다. 예시 도메인 corp.example의 경우 nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example가 실제로 가진 질문에 답합니다. 반환된 서비스 레코드는 검색 증거일 뿐입니다. 선택된 컨트롤러의 주소는 여전히 필요한 인증과 허용된 디렉터리 서비스로 도달할 수 있어야 하기 때문입니다. 정책 자료는 그다음 SYSVOL에서 오는데, 이는 바로 그 컨트롤러에 대한 SMB 읽기이며 ICMP 테스트가 아닙니다.

약한 증거를 증거로 착각하기 쉽습니다. 컨트롤러의 ICMP 응답이 정책 템플릿의 거부된 읽기와 나란히 있으면, 아직 아무도 연결하지 못한 이유로 비어 보이는 보고서가 만들어집니다.

배포의 AD 서비스 권한, 반환 경로, 시간 동기화를 일관되게 유지하고, 이를 전면적인 방화벽 개방이나 공개 DNS 서버로 대체하지 마세요. 컨트롤러 간에 다른 정책 데이터는 디렉터리 소유자의 복제 문제입니다.

한 번의 새로 고침, 두 개의 보고서, 하나의 비교

경로가 증명되면 gpupdate /target:user로 해당 새로 고침을 요청하고 결과를 가정하지 말고 읽으세요. 기본 새로 고침은 변경된 정책을 적용하고 /force은 다시 적용을 요청하지만, 둘 다 DNS나 파일 권한, 필터링을 복구하지 않습니다. 일부 확장은 이후 로그온이나 다른 포그라운드 이벤트에서만 완료되므로 한 번의 실행은 판정이 아닙니다. 원격 사용자의 세션에 로그오프나 다시 시작 스위치를 일상 진단으로 추가하는 것은 그 사용자가 열어 둔 것을 버리는 일입니다.

다른 파일 이름으로 두 번째 보고서를 만들고 처리 시간, 예상되는 GPO, 적용 또는 거부 상태, 그리고 설정 자체를 비교하세요. 이전의 성공한 세션 보고서는 이번 새로 고침에 대해 아무것도 증명하지 않습니다. 필터로 제외된 정책은 전송이 아니라 적용 가능성을 가리키며, 이는 다음 단계의 담당자를 바꿉니다.

실패를 하나의 활동에 묶으세요

이벤트 뷰어에서 시스템 로그의 그룹 정책 경고나 오류로 시작하고, 그다음 응용 프로그램 및 서비스 로그 아래의 GroupPolicy 운영 로그로 이동하세요. 그 운영 로그를 방금 실행한 새로 고침의 활동 식별자로 필터링하세요. 새 새로 고침은 새 식별자를 받으며, 어제의 이벤트와 섞으면 확신에 찬 잘못된 결론이 나옵니다. 시간, 사용자 또는 컴퓨터 컨텍스트, 선택된 컨트롤러, GPO, 오류 코드, 실패한 종속성을 기록하세요.

그 기록이야말로 네트워크나 디렉터리 소유자가 조치할 수 있는 대상입니다. VPN에 연결되어 있고 gpupdate를 여러 번 실행했다는 것은 증거가 아니며, 둘 다 인수인계를 견디지 못합니다.

HTML 보고서는 내부 이름, 그룹 구성원 자격, 보안 구성을 노출하므로 비공개로 유지하세요. 설정이 확인되면 추가한 임시 권한을 그대로 두지 말고 제거하세요.