VPN trūkst grupas politikas? Pirms tuneļa pārbaudiet apjomu

Kaut kas, kas darbojās biroja tīklā, pārstāj darboties tajā nedēļā, kad lietotājs sāk strādāt caur VPN, un tunelis tiek vainots, pirms kāds atver atskaiti. Grupas politika nosaka, kuri iestatījumi nonāk pie Windows lietotāja un datora, iegūst materiālu no domēna un veic apstrādi klienta pusē, un šie trīs soļi neizdodas trīs dažādos veidos. Tunelis maina tikai to, kāds ceļš ir klientam. Pārbaužu secīga veikšana neļauj faila atļauju problēmu vajāt kā maršrutēšanas problēmu.

Sāciet ar iestatījumu, nevis tuneli

Pierakstiet vienu gaidītu GPO un vienu konkrētu iestatījumu tajā, pēc tam izlemiet, vai šis iestatījums ir lietotāja vai datora konfigurācijā. Tas paredz pilnvarotu Windows klientu, kas pievienots domēnam apstiprinātā VPN, nevis nepārvaldītu vai tikai mākoņa ierīci, ko pārvērš domēna dalībniekā. Atbilde par apjomu nosaka, kas drīkst lasīt rezultātu un vai nepieciešama tiesību paaugstināšana, tāpēc to noskaidrojiet pirms kaut kā palaišanas.

Pajautājiet domēna administratoram, kura saite, objekta atrašanās vieta, drošības filtri un WMI filtri ir jādarbojas. Šo vadīklu maiņa, lai tests izietu, ir cits projekts ar citu īpašnieku.

Lasiet atskaiti ar kontu, kuram pieder iestatījums

Skartā lietotāja paša sesijā palaidiet whoami /user un pēc tam gpresult /scope user /r. Konts, kas autentificēja VPN, automātiski nav tas Windows konts, kura politiku jūs lasāt, un pārbaude no administratora konta atbild uz citu jautājumu. Saglabājiet bāzes stāvokli jaunā faila nosaukumā, piemēram, %TEMP%\vpn-policy-user-before.html. gpresult atsauce apraksta apjoma un izvades slēdžus, un ir vērts zināt, ka atskaites ģenerēšana neko neatjaunina.

Datora politikai ir savs apjoms un atļauju konteksts, tāpēc pārbaudiet to atsevišķi ar nepieciešamo tiesību paaugstināšanu. Abu apjomu apvienošana vienā atskaitē ir veids, kā lietotāja iestatījums tiek pasludināts par trūkstošu, lai gan tas nekad nav bijis šajā apjomā.

Atklāšana nav piekļuve: vispirms SRV ieraksti, tad SMB

Kad apstiprinātais VPN ir pievienots, apstipriniet, ka klients atrisina domēna kontrolierus paredzētajā DNS ceļā; ielādēta publiska vietne neko nepasaka par kontrolieru atklāšanu. Ilustratīvajam domēnam corp.example nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example atbild uz jautājumu, kas jums patiešām ir. Atgrieztais servisa ieraksts ir tikai atklāšanas pierādījums, jo izvēlētā kontroliera adresei joprojām jābūt sasniedzamai ar nepieciešamo autentifikāciju un atļautajiem direktorija pakalpojumiem. Politiku materiāls pēc tam nāk no SYSVOL, kas ir SMB lasīšana pret tieši šo kontrolieri, nevis ICMP tests.

Vājāku pierādījumu ir viegli sajaukt ar pierādījumu. Kontroliera ICMP atbilde līdzās noraidītai politikas veidnes lasīšanai rada atskaiti, kas izskatās tukša tāda iemesla dēļ, kuru neviens vēl nav savienojis.

Turiet izvietošanas AD pakalpojuma atļaujas, atgriešanās ceļus un laika sinhronizāciju saskaņotus, nevis aizstājiet tos ar visaptverošu ugunsmūra atvēršanu vai publisku DNS serveri. Politikas dati, kas atšķiras starp kontrolieriem, ir replikācijas jautājums direktorija īpašniekam.

Viens atjauninājums, divas atskaites, viens salīdzinājums

Kad ceļš ir pierādīts, pieprasiet attiecīgo atjauninājumu ar gpupdate /target:user un lasiet rezultātu, nevis pieņemiet to. Noklusējuma atjauninājums piemēro mainīto politiku, savukārt /force pieprasa atkārtotu piemērošanu; neviens no tiem nelabo DNS, failu atļaujas vai filtrēšanu. Daži paplašinājumi pabeidzas tikai vēlākā pierakstīšanās reizē vai citā priekšplāna notikumā, tāpēc viena izpilde nav spriedums. Izlogošanās vai restartēšanas slēdžu pievienošana attālināta lietotāja sesijai kā rutīnas diagnostika izmet to, kas viņam bija atvērts.

Ģenerējiet otru atskaiti citā faila nosaukumā un salīdziniet apstrādes laiku, gaidīto GPO, tā piemēroto vai noraidīto statusu un pašu iestatījumu. Atskaite no iepriekšējas veiksmīgas sesijas neko nepierāda par šo atjauninājumu. Atfiltrētā politika norāda uz piemērojamību, nevis pārsūtīšanu, un tas maina, kam pieder nākamais solis.

Saistiet kļūdu ar vienu darbību

Notikumu skatītājā sāciet ar grupas politikas brīdinājumu vai kļūdu sistēmas žurnālā, pēc tam pārejiet uz operatīvo žurnālu GroupPolicy sadaļā Lietojumprogrammu un pakalpojumu žurnāli. Filtrējiet šo operatīvo žurnālu pēc tikko palaistā atjauninājuma darbības identifikatora, jo jauns atjauninājums iegūst jaunu identifikatoru, un tā sajaukšana ar vakardienas notikumiem dod pārliecinošu un nepareizu secinājumu. Pierakstiet laiku, lietotāja vai datora kontekstu, izvēlēto kontrolieri, GPO, kļūdas kodu un neizdevušos atkarību.

Šis ieraksts ir tas, uz ko tīkla vai direktorija īpašnieks var rīkoties. Būšana pieslēgtam VPN un gpupdate palaišana vairākas reizes nav pierādījumi, un neviens no tiem neiztur nodošanu.

Turiet HTML atskaites privātas, jo tās atklāj iekšējos nosaukumus, grupas dalību un drošības konfigurāciju. Kad iestatījums ir apstiprināts, noņemiet pievienotās pagaidu atļaujas, nevis atstājiet tās vietā.