Brak zasady grupy na VPN? Najpierw sprawdź zakres, potem tunel

Coś, co działało w sieci biurowej, przestaje działać w tygodniu, w którym użytkownik zaczyna pracować przez VPN, a tunel zostaje obwiniony, zanim ktokolwiek otworzy raport. Zasada grupy decyduje, które ustawienia trafiają do użytkownika i komputera z Windows, pobiera materiał z domeny i wykonuje przetwarzanie po stronie klienta, a te trzy kroki zawodzą na trzy różne sposoby. Tunel zmienia tylko to, jaką ścieżkę ma klient. Przejście kontroli po kolei nie pozwala gonić problemu z uprawnieniami do plików jako problemu routingu.

Zacznij od ustawienia, nie od tunelu

Zapisz jedną oczekiwaną GPO i jedno konkretne ustawienie w niej, a następnie zdecyduj, czy ustawienie należy do konfiguracji użytkownika, czy komputera. To zakłada autoryzowanego klienta Windows przyłączonego do domeny w zatwierdzonym VPN, a nie urządzenie niezarządzane lub wyłącznie chmurowe, które robi się członkiem domeny. Odpowiedź o zakresie decyduje, kto może czytać wynik i czy potrzebne jest podniesienie uprawnień, więc ustal to przed uruchomieniem czegokolwiek.

Zapytaj administratora domeny, które połączenie, lokalizacja obiektu, filtry zabezpieczeń i filtry WMI mają być w grze. Zmienianie tych mechanizmów, aby test przeszedł, to inny projekt z innym właścicielem.

Czytaj raport z konta, do którego należy ustawienie

W sesji samego poszkodowanego użytkownika uruchom whoami /user, a następnie gpresult /scope user /r. Konto, które uwierzytelniło VPN, nie jest automatycznie tym kontem Windows, którego zasadę czytasz, a kontrola z konta administratora odpowiada na inne pytanie. Zapisz stan wyjściowy pod nową nazwą pliku, na przykład %TEMP%\vpn-policy-user-before.html. dokumentacja gpresult opisuje przełączniki zakresu i danych wyjściowych, i warto wiedzieć, że wygenerowanie raportu niczego nie odświeża.

Zasada komputera ma własny zakres i kontekst uprawnień, więc sprawdź ją osobno z potrzebnym podniesieniem uprawnień. Łączenie obu zakresów w jednym raporcie to sposób, w jaki ustawienie użytkownika zostaje ogłoszone brakującym, choć nigdy nie było w tym zakresie.

Wykrycie to nie dostęp: najpierw rekordy SRV, potem SMB

Przy połączonym zatwierdzonym VPN potwierdź, że klient rozwiązuje kontrolery domeny zamierzoną ścieżką DNS; ładowana publiczna witryna nic nie mówi o wykrywaniu kontrolerów. Dla przykładowej domeny corp.example nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example odpowiada na pytanie, które naprawdę masz. Zwrócony rekord usługi jest tylko dowodem wykrycia, ponieważ adres wybranego kontrolera nadal musi być osiągalny z wymaganym uwierzytelnianiem i dozwolonymi usługami katalogowymi. Materiał zasad pochodzi potem z SYSVOL, co jest odczytem SMB wobec właśnie tego kontrolera, a nie testem ICMP.

Słabszy dowód łatwo pomylić z dowodem. Odpowiedź ICMP od kontrolera obok odmówionego odczytu szablonu zasad daje raport, który wygląda na pusty z powodu, którego jeszcze nikt nie połączył.

Utrzymuj spójność uprawnień usług AD, ścieżek powrotnych i synchronizacji czasu wdrożenia, zamiast zastępować je zbiorczym otwarciem zapory lub publicznym serwerem DNS. Dane zasad różniące się między kontrolerami to kwestia replikacji dla właściciela katalogu.

Jedno odświeżenie, dwa raporty, jedno porównanie

Gdy ścieżka jest udowodniona, zażądaj odpowiedniego odświeżenia przez gpupdate /target:user i odczytaj wynik, zamiast go zakładać. Domyślne odświeżenie stosuje zmienioną zasadę, a /force żąda ponownego zastosowania; żadne z nich nie naprawia DNS, uprawnień do plików ani filtrowania. Niektóre rozszerzenia kończą się dopiero przy późniejszym logowaniu lub innym zdarzeniu na pierwszym planie, więc jedno uruchomienie nie jest wyrokiem. Dodawanie przełączników wylogowania lub restartu do sesji zdalnego użytkownika jako rutynowej diagnostyki wyrzuca to, co miał otwarte.

Wygeneruj drugi raport pod inną nazwą pliku i porównaj czas przetwarzania, oczekiwaną GPO, jej stan zastosowany lub odrzucony oraz samo ustawienie. Raport z wcześniejszej udanej sesji niczego nie dowodzi o tym odświeżeniu. Zasada odfiltrowana wskazuje na stosowalność, a nie na transport, co zmienia to, kto odpowiada za następny krok.

Powiąż awarię z jedną konkretną czynnością

W Podglądzie zdarzeń zacznij od ostrzeżenia lub błędu zasad grupy w dzienniku systemowym, a następnie przejdź do dziennika operacyjnego GroupPolicy w Dziennikach aplikacji i usług. Filtruj ten dziennik operacyjny po identyfikatorze czynności odświeżenia, które właśnie uruchomiłeś, ponieważ nowe odświeżenie dostaje nowy identyfikator, a mieszanie go z wczorajszymi zdarzeniami daje pewny i błędny wniosek. Zapisz czas, kontekst użytkownika lub komputera, wybrany kontroler, GPO, kod błędu i nieudaną zależność.

Ten zapis jest tym, na czym właściciel sieci lub katalogu może działać. Bycie połączonym z VPN i uruchomienie gpupdate kilka razy nie są dowodami, a żadne z nich nie przetrwa przekazania.

Trzymaj raporty HTML prywatne, ponieważ ujawniają wewnętrzne nazwy, członkostwa w grupach i konfigurację zabezpieczeń. Po potwierdzeniu ustawienia usuń dodane tymczasowe uprawnienia, zamiast zostawiać je na miejscu.