VPN дээр бүлгийн бодлого алга болсон уу? Туннелийн өмнө хамрах хүрээг шалгана уу

Оффисын сүлжээнд хэрэгжиж байсан зүйл хэрэглэгч VPN-ээр ажиллаж эхэлсэн долоо хоногт хэрэгжихээ болих бөгөөд хэн нэгэн тайлан нээхээс өмнө туннель буруутгагдана. Бүлгийн бодлого нь ямар тохиргоо Windows хэрэглэгч, компьютерт хүрэхийг тодорхойлж, материалд домэйноос татаж, клиент талын боловсруулалтыг гүйцэтгэдэг бөгөөд эдгээр гурван алхам гурван өөр аргаар бүтэлгүйтдэг. Туннель нь клиент ямар замтай болохыг л өөрчилдөг. Шалгалтыг дараалан хийснээр файлын зөвшөөрлийн асуудлыг чиглүүлэлтийн асуудал гэж мөрдөхөөс сэргийлдэг.

Туннелээс биш, тохиргооноос эхэл

Хүлээгдэж буй нэг GPO болон түүний доторх нэг тодорхой тохиргоог бичээд, тухайн тохиргоо хэрэглэгчийн эсвэл компьютерийн тохиргоонд байгаа эсэхийг шийд. Энэ нь батлагдсан VPN дээр домэйд нэгдсэн эрх бүхий Windows клиент гэж үздэг бөгөөд домэйны гишүүн болгох удирдлагагүй эсвэл зөвхөн үүлэн төхөөрөмж биш. Хамрах хүрээний хариулт нь үр дүнг хэн уншиж болох, эрх өсгөх шаардлагатай эсэхийг шийддэг тул ямар нэг зүйлийг ажиллуулахын өмнө үүнийг шийдвэрлэ.

Домэйны администратороос ямар холбоос, объектын байршил, аюулгүй байдлын шүүлтүүр, WMI шүүлтүүр ажиллах ёстойг асуу. Туршилтыг давсан гэж эдгээр хяналтыг өөрчлөх нь өөр эзэнтэй өөр төсөл юм.

Тохиргооны эзэн болох бүртгэлээр тайланг унш

Өртсөн хэрэглэгчийн өөрийн сессэд whoami /user, дараа нь gpresult /scope user /r ажиллуул. VPN-ийг баталгаажуулсан бүртгэл нь уншиж буй бодлогын Windows бүртгэл автоматаар биш бөгөөд администраторын бүртгэлээс хийсэн шалгалт өөр асуултад хариулдаг. Суурь төлөвийг шинэ файлын нэрээр хадгал, жишээ нь %TEMP%\vpn-policy-user-before.html. gpresult лавлагаа нь хамрах хүрээ, гаралтын унтраалгыг тайлбарладаг бөгөөд тайлан үүсгэх нь юу ч шинэчлэхгүй гэдгийг мэдэх нь зүйтэй.

Компьютерийн бодлого өөрийн хамрах хүрээ, зөвшөөрлийн нөхцөлтэй тул шаардлагатай эрх өсгөлтөөр тусдаа шалга. Хоёр хүрээг нэг тайланд нэгтгэх нь хэрэглэгчийн тохиргоог хэзээ ч тухайн хүрээнд байгаагүй ч дутуу гэж зарлах арга юм.

Илрүүлэлт бол хандалт биш: эхлээд SRV бичлэг, дараа нь SMB

Батлагдсан VPN холбогдсон үед клиент домэйны хянагчдыг зориулалтын DNS замаар шийддэг гэдгийг батал; нийтийн вэбсайт ачаалагдах нь хянагчдыг илрүүлэх тухай юу ч хэлэхгүй. Жишээ corp.example домэйны хувьд nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example нь таны үнэхээр байгаа асуултад хариулдаг. Буцаасан үйлчилгээний бичлэг нь зөвхөн илрүүлэлтийн нотолгоо, учир нь сонгосон хянагчийн хаяг шаардлагатай баталгаажуулалт, зөвшөөрөгдсөн лавлах үйлчилгээтэйгээр хүрэх боломжтой хэвээр байх ёстой. Бодлогын материал дараа нь SYSVOL-оос ирдэг бөгөөд энэ нь яг тэр хянагч руу чиглэсэн SMB уншилт бөгөөд ICMP тест биш.

Сул нотолгоог нотолгоо гэж андуурах нь амархан. Хянагчаас ирсэн ICMP хариу нь бодлогын загварын татгалзсан уншилтын хажууд байх нь хэн ч холбоогүй шалтгаанаар хоосон харагдах тайланг үүсгэдэг.

Байршуулалтын AD үйлчилгээний зөвшөөрөл, буцах зам, цаг хугацааны синхрончлолыг уялдуулан байлга, тэдгээрийг ерөнхий галт ханын нээлт эсвэл нийтийн DNS серверээр солихын оронд. Хянагчдын хооронд ялгаатай бодлогын өгөгдөл нь лавлахын эзэнд репликацийн асуудал юм.

Нэг шинэчлэлт, хоёр тайлан, нэг харьцуулалт

Зам нотлогдсоны дараа холбогдох шинэчлэлтийг gpupdate /target:user-аар хүсч, үр дүнг таамаглахын оронд унш. Өгөгдмөл шинэчлэлт өөрчилсөн бодлогыг хэрэгжүүлдэг бол /force дахин хэрэгжүүлэхийг хүсдэг; аль нь ч DNS, файлын зөвшөөрөл, шүүлтүүрийг засдаггүй. Зарим өргөтгөл зөвхөн дараагийн нэвтрэлт эсвэл урд талын өөр үйл явдалд дуусдаг тул нэг удаа ажиллуулах нь шийдвэр биш. Алсын хэрэглэгчийн сессэд гарах эсвэл дахин эхлүүлэх унтраалгыг ердийн оношилгоо болгон нэмэх нь түүний нээлттэй байсан зүйлийг хаяна.

Өөр файлын нэрээр хоёр дахь тайлан үүсгэж, боловсруулалтын хугацаа, хүлээгдэж буй GPO, түүний хэрэгжсэн эсвэл татгалзсан төлөв, тохиргоог өөрөө харьцуул. Өмнөх амжилттай сессийн тайлан энэ шинэчлэлтийн талаар юу ч нотлохгүй. Шүүгдэж хасагдсан бодлого нь тээвэрлэлт биш харин хэрэглэгдэх байдлыг заадаг бөгөөд энэ нь дараагийн алхам хэнийх болохыг өөрчилдөг.

Алдааг нэг үйл ажиллагаанд холбо

Үйл явдлын үзэгчээр системийн бүртгэл дэх бүлгийн бодлогын анхааруулга эсвэл алдаанаас эхэлж, дараа нь Программ ба үйлчилгээний бүртгэлийн доорх GroupPolicy үйлдлийн бүртгэл рүү шилж. Тэр үйлдлийн бүртгэлийг саяхан ажиллуулсан шинэчлэлтийн үйл ажиллагааны танигчаар шүү, учир нь шинэ шинэчлэлт шинэ танигч авдаг бөгөөд үүнийг өчигдрийн үйл явдлуудтай холих нь итгэлтэй боловч буруу дүгнэлт өгдөг. Цаг, хэрэглэгч эсвэл компьютерийн нөхцөл, сонгосон хянагч, GPO, алдааны код, бүтэлгүйтсэн хамаарлыг бич.

Тэр бичлэг нь сүлжээ эсвэл лавлахын эзэн арга хэмжээ авч болох зүйл юм. VPN-д холбогдсон байх, gpupdate-ийг хэд хэдэн удаа ажиллуулах нь нотолгоо биш бөгөөд аль нь ч шилжүүлгийг давахгүй.

HTML тайланг нууцлаг байлга, учир нь тэд дотоод нэр, бүлгийн гишүүнчлэл, аюулгүй байдлын тохиргоог илчилдэг. Тохиргоо батлагдсаны дараа нэмсэн түр зөвшөөрлийг байранд нь үлдээхийн оронд устга.