Groepsbeleid ontbreekt op VPN? Controleer het bereik vóór de tunnel

Iets dat op het kantoornetwerk gold, geldt niet meer in de week dat een gebruiker via VPN gaat werken, en de tunnel krijgt de schuld voordat iemand een rapport opent. Groepsbeleid bepaalt welke instellingen bij de Windows-gebruiker en -computer terechtkomen, haalt het materiaal uit het domein en voert de verwerking aan de clientzijde uit, en die drie stappen falen op drie verschillende manieren. De tunnel verandert alleen welk pad de client heeft. De controles op volgorde doorlopen voorkomt dat een bestandsrechtenprobleem als routeringsprobleem wordt nagelopen.

Begin bij de instelling, niet bij de tunnel

Noteer één verwacht GPO en één concrete instelling daarin en bepaal dan of die instelling in Gebruikersconfiguratie of Computerconfiguratie zit. Dit veronderstelt een geautoriseerde, aan het domein gekoppelde Windows-client op een goedgekeurde VPN, geen onbeheerd of alleen cloudapparaat dat tot domeinlid wordt gemaakt. Het antwoord over het bereik bepaalt wie het resultaat mag lezen en of verhoogde rechten nodig zijn, dus regel dat voordat u iets uitvoert.

Vraag de domeinbeheerder welke koppeling, objectlocatie, beveiligingsfilters en WMI-filters in het spel horen. Die besturingselementen aanpassen zodat een test slaagt, is een ander project met een andere eigenaar.

Lees het rapport met het account dat de instelling bezit

Voer in de eigen sessie van de getroffen gebruiker whoami /user uit en daarna gpresult /scope user /r. Het account dat de VPN heeft geauthenticeerd is niet automatisch het Windows-account waarvan u het beleid leest, en een controle vanaf een beheerdersaccount beantwoordt een andere vraag. Sla de basislijn op onder een nieuwe bestandsnaam, bijvoorbeeld %TEMP%\vpn-policy-user-before.html. De gpresult-referentie documenteert de schakelaars voor bereik en uitvoer, en het is goed te weten dat het genereren van een rapport niets vernieuwt.

Computerbeleid heeft zijn eigen bereik en machtigingscontext, dus bekijk het apart met de vereiste verhoging. Beide bereiken in één rapport samenvoegen is de manier waarop een gebruikersinstelling als ontbrekend wordt verklaard terwijl die nooit in dat bereik zat.

Detectie is geen toegang: eerst SRV-records, dan SMB

Met de goedgekeurde VPN verbonden, bevestigt u dat de client domeincontrollers via het bedoelde DNS-pad oplost; een openbare website die laadt zegt niets over de detectie van controllers. Voor het voorbeelddomein corp.example beantwoordt nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example de vraag die u werkelijk hebt. Een teruggegeven servicerecord is alleen detectiebewijs, omdat het adres van de gekozen controller nog steeds bereikbaar moet zijn met de vereiste authenticatie en toegestane adreslijstdiensten. Het beleidsmateriaal komt daarna uit SYSVOL, en dat is een SMB-lezing tegen precies die controller en geen ICMP-test.

Zwakker bewijs wordt makkelijk voor bewijs aangezien. Een ICMP-antwoord van een controller naast een geweigerde lezing van een beleidssjabloon levert een rapport op dat leeg lijkt om een reden die niemand nog heeft verbonden.

Houd de AD-servicemachtigingen, terugpaden en tijdsynchronisatie van de uitrol samenhangend in plaats van ze te vervangen door een algehele firewallopening of een openbare DNS-server. Beleidsgegevens die tussen controllers verschillen zijn een replicatievraag voor de eigenaar van de adreslijst.

Eén vernieuwing, twee rapporten, één vergelijking

Nu het pad bewezen is, vraagt u de relevante vernieuwing aan met gpupdate /target:user en leest u het resultaat in plaats van het aan te nemen. De standaardvernieuwing past gewijzigd beleid toe, terwijl /force om hertoepassing vraagt; geen van beide herstelt DNS, bestandsrechten of filtering. Sommige uitbreidingen voltooien pas bij een latere aanmelding of een andere gebeurtenis op de voorgrond, dus één uitvoering is geen vonnis. Afmeld- of herstartschakelaars toevoegen aan de sessie van een externe gebruiker als routine diagnose gooit weg wat die open had staan.

Genereer een tweede rapport onder een andere bestandsnaam en vergelijk de verwerkingstijd, het verwachte GPO, de status toegepast of geweigerd en de instelling zelf. Een rapport uit een eerdere geslaagde sessie bewijst niets over deze vernieuwing. Een beleid dat is uitgefilterd wijst op toepasbaarheid en niet op transport, wat verandert wie de volgende stap bezit.

Koppel de fout aan één enkele activiteit

Begin in Logboeken bij de waarschuwing of fout van groepsbeleid in het systeemlogboek en ga dan naar het operationele logboek GroupPolicy onder Logboeken van toepassingen en services. Filter dat operationele logboek op de activiteits-id van de vernieuwing die u zojuist hebt uitgevoerd, want een nieuwe vernieuwing krijgt een nieuwe id en het vermengen met de gebeurtenissen van gisteren levert een zelfverzekerde en onjuiste conclusie op. Noteer de tijd, de gebruiker- of computercontext, de gekozen controller, het GPO, de foutcode en de mislukte afhankelijkheid.

Die notitie is waar de netwerk- of adreslijsteigenaar op kan handelen. Verbonden zijn met de VPN en gpupdate meerdere keren hebben uitgevoerd zijn geen bewijs, en geen van beide overleeft een overdracht.

Houd de HTML-rapporten privé, omdat ze interne namen, groepslidmaatschappen en beveiligingsconfiguratie blootleggen. Zodra de instelling is bevestigd, verwijdert u de tijdelijke machtigingen die u hebt toegevoegd in plaats van ze te laten staan.