Gruppepolicy manglar på VPN? Sjekk omfanget før tunnelen

Noko som galdt på kontornettverket, sluttar å gjelde i veka ein brukar byrjar å arbeide over VPN, og tunnelen får skulda før nokon opnar ein rapport. Gruppepolicy avgjer kva innstillingar som landar på Windows-brukaren og -datamaskina, hentar materialet frå domenet og køyrer handsaminga på klientsida, og dei tre trinna feilar på tre ulike måtar. Tunnelen endrar berre kva veg klienten har. Å gå gjennom kontrollane i rekkjefølgje hindrar at eit filrettigheitsproblem blir jaga som eit ruteproblem.

Start med innstillinga, ikkje tunnelen

Skriv ned éin forventa GPO og éi konkret innstilling i han, og avgjer deretter om innstillinga høyrer til brukarkonfigurasjon eller datamaskinkonfigurasjon. Dette føreset ein autorisert Windows-klient som er domentilknytt, på ein godkjend VPN, ikkje eit uhanda eller reint sky-eining som blir gjort til domenemedlem. Svaret om omfanget avgjer kven som kan lese resultatet og om det trengst forhøgde rettar, så avklar det før du køyrer noko.

Spør domeneadministratoren kva kopling, objektplassering, tryggingsfilter og WMI-filter som skal vere i spel. Å endre desse kontrollane for at ein test skal gå gjennom, er eit anna prosjekt med ein annan eigar.

Les rapporten med kontoen som eig innstillinga

I den råka brukaren sin eigen økt, køyr whoami /user og deretter gpresult /scope user /r. Kontoen som autentiserte VPN-en, er ikkje automatisk den Windows-kontoen du les policyen til, og ein kontroll frå ein administratorkonto svarar på eit anna spørsmål. Lagre grunnlinja under eit nytt filnamn, til dømes %TEMP%\vpn-policy-user-before.html. gpresult-referansen dokumenterer brytarane for omfang og utdata, og det er verdt å vite at det ikkje oppdaterer noko å generere ein rapport.

Datamaskinpolicy har sitt eige omfang og sin eigen rettskontekst, så undersøk han separat med den forhøginga han treng. Å folde begge omfanga inn i éin rapport er måten ei brukarinnstilling blir erklært manglande på, sjølv om ho aldri var i det omfanget.

Oppdaging er ikkje tilgang: først SRV-poster, så SMB

Med den godkjende VPN-en tilkopla, stadfest at klienten løyser domenekontrollarar gjennom den tiltenkte DNS-vegen; eit offentleg nettstad som lastar, seier ingenting om kontrolløroppdaging. For dømedomenet corp.example svarar nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example på spørsmålet du faktisk har. Ein returnert tenestepost er berre oppdagingsbevis, fordi adressa til den valde kontrolløren framleis må vere nåbar med den påkravde autentiseringa og tillatne katalogtenestene. Policymaterialet kjem deretter frå SYSVOL, som er ei SMB-lesing mot nettopp den kontrolløren og ikkje ein ICMP-test.

Svakare bevis blir lett forveksla med bevis. Eit ICMP-svar frå ein kontrollør ved sida av ei avvist lesing av ein policymal, gir ein rapport som ser tom ut av ein grunn ingen enno har kopla.

Hald AD-tenesteløyva, returvegar og tidssynkronisering i utrullinga samanhengande i staden for å erstatte dei med ei generell brannmuropning eller ein offentleg DNS-tenar. Policydata som er ulike mellom kontrollørar, er eit replikeringsspørsmål for katalogeigaren.

Éi oppdatering, to rapportar, éi samanlikning

Når vegen er prova, be om den relevante oppdateringa med gpupdate /target:user og les resultatet i staden for å anta det. Standardoppdateringa brukar endra policy, medan /force ber om ny bruk; ingen av dei reparerer DNS, filrettar eller filtrering. Nokre utvidingar blir først fullførte ved ei seinare pålogging eller ei anna hending i forgrunnen, så éin køyring er ikkje ein dom. Å leggje til avloggings- eller omstartsbrytarar i økta til ein fjernbrukar som rutinediagnostikk kastar det brukaren hadde ope.

Generer ein annan rapport under eit anna filnamn og samanlikn handsamingstida, den forventa GPO-en, statusen hans som brukt eller avvist og sjølve innstillinga. Ein rapport frå ei tidlegare vellukka økt bevisar ingenting om denne oppdateringa. Ein policy som vart filtrert bort, peikar på brukbarheit snarare enn transport, noko som endrar kven som eig neste steg.

Bind feilen til éi einskild aktivitet

I Loggbok for hendingar startar du med gruppepolicyåtvaringa eller -feilen i systemloggen, og går deretter til den operative loggen GroupPolicy under Loggar for program og tenester. Filtrer den operative loggen på aktivitetsidentifikatoren for oppdateringa du nettopp køyrde, fordi ei ny oppdatering får ein ny identifikator, og å blande henne med gårsdagens hendingar gir ein sjølvsikker og gal konklusjon. Noter tidspunktet, brukar- eller datamaskinkonteksten, den valde kontrolløren, GPO-en, feilkoden og den mislukka avhengnaden.

Den notata er det nettverks- eller katalogeigaren kan handle på. Å vere tilkopla VPN og ha køyrt gpupdate fleire gonger er ikkje bevis, og ingen av dei overlever ei overlevering.

Hald HTML-rapportane private, sidan dei avdekkjer interne namn, gruppemedlemskap og tryggingskonfigurasjon. Når innstillinga er stadfesta, fjern dei mellombelse løyva du la til, i staden for å la dei stå.