په VPN کې د ګروپ پالیسي نشته؟ د تونل مخکې حد وګورئ

یو څه چې په دفترۍ شبکه کې پلي وو، هغه هفته چې کاروونکی د VPN له لارې کار پیلوي پلي کېدل بندوي، او تونل د ګرمې په توګه پېژندل کېږي مخکې لدې چې څوک راپور پرانیزي. ګروپ پالیسي ټاکي چې کوم تنظیمات Windows کاروونکي او کمپیوټر ته رسي، مواد له ډومین څخه راوړي او د کاروونکي خوا پروسس چلوي، او دا درې ګامه په درې مختلفو لارو ناکامېږي. تونل یوازې هغه بدلوي چې کاروونکی کومه لاره لري. د ګامونو په ترتیب ترسره کول د دې مخه نیسي چې د فایل د اجازې ستونزه د لارې ستونزه وګڼل شي.

له تنظیم سره پیل وکړئ، نه له تونل سره

یوه تمه شوې GPO او په هغې کې یو ټاکلی تنظیم ولیکئ، بیا پرېکړه وکړئ چې دا تنظیم د کاروونکي په ترتیب کې دی که د کمپیوټر په ترتیب کې. دا فرض کوي چې د منل شوي VPN په سر د ډومین سره یوځای شوی مجاز Windows کاروونکی دی، نه غیر اداره شوی یا یوازې کلاوډ وسیله چې د ډومین غړې جوړېږي. د حد ځواب ټاکي چې پایله څوک لولي او آیا د اجازې لوړول اړین دي، نو لدې مخکې چې څه چل کړئ دا روښانه کړئ.

له ډومین اداره کوونکي وپوښتئ چې کومه اړیکه، د شی ځای، امنیتي فلټرونه او WMI فلټرونه باید په کار وي. د دې کنټرولونو بدلول ترڅو ازموینه بریالۍ شي، د بل مالک بل پروژه ده.

راپور د هغې حساب سره ولولئ چې تنظیم ورته اړه لري

د اغېزمن شوي کاروونکي په خپله ناسته کې whoami /user او بیا gpresult /scope user /r وچلوئ. هغه حساب چې VPN یې تصدیق کړ، په اتوماتيک ډول د هغې پالیسۍ Windows حساب نه دی چې تاسو یې لولئ، او د اداره کوونکي حساب څخه کتنه بل پوښتنې ته ځواب ورکوي. بنسټیز حالت د نوي فایل نوم سره خوندي کړئ، لکه %TEMP%\vpn-policy-user-before.html. د gpresult حواله د حد او وتلو سویچونه بیانوي، او پوهېدل ښه دي چې راپور جوړول هېڅ نه تازه کوي.

کمپیوټر پالیسي خپل حد او خپل د اجازې شرایط لري، نو هغه جلا د اړینې اجازې لوړولو سره وګورئ. دواړه حدود په یوه راپور کې یوځای کول هغه لاره ده چې کاروونکي تنظیم ورک ښودل کېږي که څه هم هېڅکله په هغه حد کې نه و.

موندنه لاسرسی نه دی: لومړی SRV ثبتونه، بیا SMB

د منل شوي VPN په نښلولو سره، تایید کړئ چې کاروونکی د ډومین کنټرولرونه د ټاکل شوې DNS لارې له مخې حل کوي؛ یو عامه وېبپاڼه چې بار شي د کنټرولرونو د موندنې په اړه هېڅ نه وایي. د بېلګې ډومین corp.example لپاره، nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example هغه پوښتنې ته ځواب ورکوي چې تاسو واقعاً لرئ. راګرځول شوی خدمت ثبت یوازې د موندنې شاهد دی، ځکه د ټاکل شوي کنټرولر پته باید لا هم د اړین تصدیق او اجازه شوو لارښود خدمتونو سره د لاسرسي وړ وي. د پالیسۍ مواد بیا له SYSVOL څخه راځي، چې د هماغه ځانګړي کنټرولر پر وړاندې SMB لوستل دي او نه ICMP ازموینه.

کمزوری شاهد په اسانه شاهد ګڼل کېږي. له کنټرولر څخه ICMP ځواب، د پالیسي کالنۍ د رد شوي لوستل ترڅنګ، هغه راپور جوړوي چې د یوې دلیل له امله تش ښکاري چې لا چا ندی نښلولی.

د ځای پرځای کولو AD خدمت اجازې، د بېرته راستنېدو لارې او د وخت همغږي سره سم وساتئ، پرځای د دې چې هغه په پراخه فایر وال خلاصولو یا عامه DNS سرور بدل کړئ. د پالیسۍ معلومات چې د کنټرولرونو ترمنځ توپیر لري د لارښود مالک لپاره د تکرار پوښتنه ده.

یو تازه کول، دوه راپورونه، یوه پرتله

کله چې لاره ثابته شوه، اړوند تازه کول د gpupdate /target:user سره وغواړئ او پایله ولولئ پرځای د دې چې فرض یې کړئ. اصلي تازه کول بدله شوې پالیسي پلي کوي پداسې حال کې چې /force بیا پلي کول غواړي؛ هیڅ یو یې DNS، د فایل اجازې یا فلټرول نه سموني. ځینې غځونې یوازې په وروستي ننوتلو یا بل مخکیني پېښه کې بشپړېږي، نو یو ځل چلول پرېکړه نه ده. د لیرې کاروونکي ناستې ته د وتلو یا بیا پیل سویچونه د عادي تشخیص په توګه زیاتول هغه څه غورځوي چې هغه پرانیستي وو.

د بل فایل نوم سره دویم راپور جوړ کړئ او د پروسس وخت، تمه شوې GPO، د هغې پلي شوی یا رد شوی حالت او تنظیم پرتله کړئ. د پخوا بریالۍ ناستې راپور د دې تازه کولو په اړه هېڅ نه ثابتوي. هغه پالیسي چې له فلټر څخه ووتله، د لېږد پرځای د تطبیق وړتیا ته اشاره کوي، او دا بدلوي چې بله ګام د چا دی.

ناکامي له یوې ځانګړې فعالیت سره وتړئ

په پېښو کتونکي کې د سیسټم ثبت کې د ګروپ پالیسۍ خبرداری یا تېروتنې څخه پیل وکړئ، بیا د غوښتنلیکونو او خدمتونو ثبتونو لاندې GroupPolicy عملیاتي ثبت ته لاړ شئ. هغه عملیاتي ثبت د هماغه تازه کولو د فعالیت پېژندونکي له مخې فلټر کړئ چې همدا اوس مو چل کړ، ځکه نوې تازه کول نوی پېژندونکی اخلي او د پرون پېښو سره ګډول یې باوري او غلط نتیجه ورکوي. وخت، د کاروونکي یا کمپیوټر شرایط، ټاکل شوی کنټرولر، GPO، د تېروتنې کوډ او ناکامه تړاو ولیکئ.

هماغه ثبت هغه څه دي چې د شبکې یا لارښود مالک پرې عمل کولی شي. VPN ته نښلول شوی وي او gpupdate څو ځله چلول شاهد نه دي، او هیڅ یو یې له سپارلو نه ژغورل کېږي.

HTML راپورونه شخصي وساتئ، ځکه چې دوی داخلي نومونه، د ګروپ غړیتوب او امنیتي ترتیب ښکاره کوي. کله چې تنظیم تایید شو، هغه لنډمهاله اجازې چې مو زیاتې کړې لرې کړئ پرځای د دې چې پر خپل ځای یې پرېږدئ.