VPN trūksta grupės strategijos? Prieš tunelį patikrinkite aprėptį

Kažkas, kas galiojo biuro tinkle, nustoja galioti tą savaitę, kai naudotojas pradeda dirbti per VPN, ir tunelis apkaltinamas dar prieš kam nors atidarant ataskaitą. Grupės strategija nustato, kurie parametrai pasiekia Windows naudotoją ir kompiuterį, paima medžiagą iš domeno ir vykdo apdorojimą kliento pusėje, ir šie trys žingsniai nepavyksta trimis skirtingais būdais. Tunelis keičia tik tai, kokį kelią turi klientas. Nuoseklus patikrų atlikimas neleidžia failo leidimų problemos persekioti kaip maršrutizavimo problemos.

Pradėkite nuo nustatymo, o ne nuo tunelio

Užsirašykite vieną tikėtiną GPO ir vieną konkretų nustatymą joje, tada nuspręskite, ar tas nustatymas yra naudotojo, ar kompiuterio konfigūracijoje. Tai daro prielaidą, kad įgaliotas Windows klientas, prijungtas prie domeno, veikia patvirtintame VPN, o ne nevaldomas ar tik debesijos įrenginys, kuris paverčiamas domeno nariu. Atsakymas apie aprėptį nulemia, kas gali skaityti rezultatą ir ar reikia teisių padidinimo, todėl tai išsiaiškinkite prieš ką nors vykdydami.

Paklauskite domeno administratoriaus, kuri sąsaja, objekto vieta, saugos filtrai ir WMI filtrai turėtų veikti. Keisti šiuos valdiklius, kad testas praeitų, yra kitas projektas su kitu savininku.

Skaitykite ataskaitą su paskyra, kuriai priklauso nustatymas

Paveikto naudotojo pačioje sesijoje paleiskite whoami /user, o tada gpresult /scope user /r. Paskyra, kuri autentifikavo VPN, nėra automatiškai ta Windows paskyra, kurios strategiją skaitote, o patikra iš administratoriaus paskyros atsako į kitą klausimą. Išsaugokite pradinę būseną nauju failo vardu, pavyzdžiui, %TEMP%\vpn-policy-user-before.html. gpresult nuoroda aprašo aprėpties ir išvesties jungiklius, ir verta žinoti, kad ataskaitos generavimas nieko neatnaujina.

Kompiuterio strategija turi savo aprėptį ir leidimų kontekstą, todėl tikrinkite ją atskirai su reikiamu teisių padidinimu. Abiejų aprėpčių sujungimas į vieną ataskaitą yra būdas, kuriuo naudotojo nustatymas paskelbiamas trūkstamu, nors jis niekada nebuvo toje aprėptyje.

Aptikimas nėra prieiga: pirmiausia SRV įrašai, paskui SMB

Kai patvirtintas VPN prijungtas, patvirtinkite, kad klientas domeno valdiklius išsprendžia numatytu DNS keliu; įkeliama vieša svetainė nieko nesako apie valdiklių aptikimą. Iliustraciniam domenui corp.example nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example atsako į klausimą, kurį tikrai turite. Grąžintas paslaugos įrašas yra tik aptikimo įrodymas, nes pasirinkto valdiklio adresas vis tiek turi būti pasiekiamas su reikiamu autentifikavimu ir leidžiamomis katalogo paslaugomis. Strategijos medžiaga tada ateina iš SYSVOL, o tai yra SMB skaitymas į tą konkretų valdiklį, o ne ICMP testas.

Silpnesnį įrodymą lengva supainioti su įrodymu. Valdiklio ICMP atsakymas šalia atmesto strategijos šablono skaitymo sukuria ataskaitą, kuri atrodo tuščia dėl priežasties, kurios dar niekas nesiejo.

Laikykite diegimo AD paslaugos leidimus, grąžinimo kelius ir laiko sinchronizavimą suderintus, o ne pakeiskite juos bendru ugniasienės atvėrimu ar viešu DNS serveriu. Strategijos duomenys, kurie skiriasi tarp valdiklių, yra replikacijos klausimas katalogo savininkui.

Vienas atnaujinimas, dvi ataskaitos, vienas palyginimas

Kai kelias įrodytas, paprašykite atitinkamo atnaujinimo su gpupdate /target:user ir perskaitykite rezultatą, o ne darykite prielaidą. Numatytoji atnaujinimo procedūra taiko pakeistą strategiją, o /force prašo pakartotinio taikymo; nė vienas jų netaiso DNS, failų leidimų ar filtravimo. Kai kurie plėtiniai baigiami tik vėlesnio prisijungimo ar kito pirmame plane vykstančio įvykio metu, todėl vienas paleidimas nėra nuosprendis. Atsijungimo ar paleidimo iš naujo jungiklių pridėjimas prie nuotolinio naudotojo sesijos kaip įprastos diagnostikos atmeta tai, ką jis buvo atidaręs.

Sugeneruokite antrą ataskaitą kitu failo vardu ir palyginkite apdorojimo laiką, tikėtiną GPO, jos pritaikytą ar atmestą būseną ir patį nustatymą. Ankstesnės sėkmingos sesijos ataskaita nieko neįrodo apie šį atnaujinimą. Išfiltruota strategija rodo taikomumą, o ne perdavimą, ir tai keičia, kam priklauso kitas žingsnis.

Susiekite gedimą su viena veikla

Įvykių peržiūroje pradėkite nuo grupės strategijos įspėjimo ar klaidos sistemos žurnale, tada pereikite prie operacinio žurnalo GroupPolicy, esančio skiltyje Programų ir paslaugų žurnalai. Filtruokite tą operacinį žurnalą pagal ką tik vykdyto atnaujinimo veiklos identifikatorių, nes naujas atnaujinimas gauna naują identifikatorių, o sumaišius jį su vakar dienos įvykiais gaunama užtikrinta ir klaidinga išvada. Užrašykite laiką, naudotojo ar kompiuterio kontekstą, pasirinktą valdiklį, GPO, klaidos kodą ir nepavykusią priklausomybę.

Šis įrašas yra tai, kuo gali remtis tinklo ar katalogo savininkas. Buvimas prisijungus prie VPN ir gpupdate paleidimas kelis kartus nėra įrodymai, ir nė vienas jų neišgyvena perdavimo.

Laikykite HTML ataskaitas privačias, nes jos atskleidžia vidinius pavadinimus, grupės narystę ir saugos konfigūraciją. Kai nustatymas patvirtintas, pašalinkite pridėtus laikinuosius leidimus, o ne palikite juos vietoje.