Групната политика недостасува на VPN? Проверете опсегот пред тунелот

Нешто што важеше на канцелариската мрежа престанува да важи во неделата кога корисникот почнува да работи преку VPN, и тунелот го добива обвинението пред некој да отвори извештај. Групната политика одредува кои поставки стигнуваат до корисникот и компјутерот со Windows, го зема материјалот од доменот и ја извршува обработката на клиентската страна, и овие три чекори не успеваат на три различни начини. Тунелот менува само каква патека има клиентот. Редоследното поминување низ проверките спречува проблем со дозволи за датотеки да се гони како проблем со рутирање.

Започнете со поставката, не со тунелот

Запишете една очекувана GPO и една конкретна поставка во неа, потоа одлучете дали поставката е во корисничката или во компјутерската конфигурација. Ова претпоставува овластен Windows клиент приклучен на доменот на одобрен VPN, а не неуправуван или само облачен уред што се прави член на доменот. Одговорот за опсегот одредува кој може да го чита резултатот и дали е потребно покачување на права, затоа решете го тоа пред да извршите нешто.

Прашајте го администраторот на доменот која врска, местоположба на објект, безбедносни филтри и WMI филтри треба да бидат во игра. Менувањето на тие контроли за тестот да помине е друг проект со друг сопственик.

Читајте го извештајот со сметката на која ѝ припаѓа поставката

Во сопствената сесија на погодениот корисник извршете whoami /user и потоа gpresult /scope user /r. Сметката што го автентифицирала VPN не е автоматски онаа Windows сметка чија политика ја читате, и проверката од администраторска сметка одговара на друго прашање. Зачувајте ја основната состојба под ново име на датотека, на пример %TEMP%\vpn-policy-user-before.html. референцата за gpresult ги документира прекинувачите за опсег и излез, и вреди да се знае дека генерирањето извештај не освежува ништо.

Компјутерската политика има свој опсег и контекст на дозволи, затоа проверете ја одделно со потребното покачување на права. Спојувањето на двата опсега во еден извештај е начинот на кој корисничка поставка се прогласува за отсутна иако никогаш не била во тој опсег.

Откривањето не е пристап: прво SRV записи, потоа SMB

Со поврзан одобрен VPN, потврдете дека клиентот ги разрешува контролерите на доменот преку предвидената DNS патека; јавна веб-страница што се вчитува не кажува ништо за откривањето контролери. За илустративниот домен corp.example, nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example одговара на прашањето што навистина го имате. Вратен запис за услуга е само доказ за откривање, бидејќи адресата на избраниот контролер сѐ уште мора да биде достапна со потребната автентикација и дозволените услуги на директориумот. Материјалот за политика потоа доаѓа од SYSVOL, што е SMB читање кон токму тој контролер, а не ICMP тест.

Послаб доказ лесно се заменува со доказ. ICMP одговор од контролер, покрај одбиено читање на шаблон за политика, дава извештај што изгледа празен од причина што никој сѐ уште не ја поврзал.

Држете ги дозволите за AD услуги, повратните патеки и синхронизацијата на времето во распоредувањето усогласени, наместо да ги замените со општо отворање на огнена брана или јавен DNS сервер. Податоците за политика што се разликуваат меѓу контролерите се прашање на репликација за сопственикот на директориумот.

Едно освежување, два извештаја, една споредба

Кога патеката е докажана, побарајте го соодветното освежување со gpupdate /target:user и прочитајте го резултатот наместо да го претпоставувате. Стандардното освежување ја применува променетата политика, додека /force бара повторна примена; ниту едно не го поправа DNS, дозволите за датотеки или филтрирањето. Некои проширувања завршуваат само при подоцнежно најавување или друг настан во преден план, затоа едно извршување не е пресуда. Додавањето прекинувачи за одјавување или рестартирање во сесијата на далечински корисник како рутинска дијагностика го фрла тоа што го имал отворено.

Генерирајте втор извештај под друго име на датотека и споредете го времето на обработка, очекуваната GPO, нејзиниот применет или одбиен статус и самата поставка. Извештај од претходна успешна сесија не докажува ништо за ова освежување. Политика што била филтрирана укажува на применливост, а не на пренос, што менува чиј е следниот чекор.

Врзете го неуспехот со една единствена активност

Во Преглед на настани, започнете со предупредувањето или грешката за групна политика во системскиот дневник, потоа преминете на оперативниот дневник GroupPolicy под Дневници на апликации и услуги. Филтрирајте го тој оперативен дневник по идентификаторот на активноста на освежувањето што штотуку го извршивте, бидејќи новото освежување добива нов идентификатор и неговото мешање со вчерашните настани дава уверен и погрешен заклучок. Запишете го времето, контекстот на корисникот или компјутерот, избраниот контролер, GPO, кодот на грешка и неуспешната зависност.

Тој запис е она на што сопственикот на мрежата или директориумот може да дејствува. Тоа што сме поврзани на VPN и сме го извршиле gpupdate неколку пати не се докази, и ниту едно не го преживува предавањето.

Чувајте ги HTML извештаите приватни, бидејќи откриваат внатрешни имиња, членства во групи и безбедносна конфигурација. Откако поставката е потврдена, отстранете ги додадените привремени дозволи наместо да ги оставите на место.