Групповая политика не применяется на VPN? Проверьте область действия до туннеля

Что-то, что действовало в офисной сети, перестаёт действовать на той неделе, когда пользователь начинает работать через VPN, и туннель получает обвинение раньше, чем кто-либо откроет отчёт. Групповая политика решает, какие параметры попадают на пользователя и компьютер Windows, забирает материал из домена и выполняет обработку на стороне клиента, и эти три шага отказывают тремя разными способами. Туннель меняет только то, какой путь есть у клиента. Последовательный проход по проверкам не даёт гоняться за проблемой прав на файлы как за проблемой маршрутизации.

Начните с настройки, а не с туннеля

Запишите одну ожидаемую GPO и одну конкретную настройку в ней, затем решите, находится ли эта настройка в конфигурации пользователя или в конфигурации компьютера. Это предполагает авторизованный клиент Windows, введённый в домен, в одобренном VPN, а не неуправляемое устройство или устройство только в облаке, которое делают членом домена. Ответ об области действия определяет, кто может читать результат и нужны ли повышенные права, поэтому решите это до запуска чего-либо.

Спросите администратора домена, какая привязка, расположение объекта, фильтры безопасности и фильтры WMI должны быть задействованы. Менять эти средства управления, чтобы прошёл тест, — другой проект с другим владельцем.

Читайте отчёт под учётной записью, которой принадлежит настройка

В собственной сессии пострадавшего пользователя выполните whoami /user, а затем gpresult /scope user /r. Учётная запись, которая аутентифицировала VPN, не обязательно является той учётной записью Windows, политику которой вы читаете, и проверка из учётной записи администратора отвечает на другой вопрос. Сохраните базовое состояние под новым именем файла, например %TEMP%\vpn-policy-user-before.html. справка по gpresult описывает переключатели области действия и вывода, и полезно знать, что создание отчёта ничего не обновляет.

Политика компьютера имеет собственную область действия и контекст прав, поэтому проверяйте её отдельно с нужным повышением прав. Сводить обе области в один отчёт — это путь, на котором настройку пользователя объявляют отсутствующей, хотя она никогда не была в этой области.

Обнаружение — не доступ: сначала записи SRV, затем SMB

При подключённом одобренном VPN подтвердите, что клиент разрешает контроллеры домена по предназначенному пути DNS; загружающийся публичный сайт ничего не говорит об обнаружении контроллеров. Для примера домена corp.example на вопрос, который у вас действительно есть, отвечает nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example. Возвращённая запись службы — только доказательство обнаружения, потому что адрес выбранного контроллера всё ещё должен быть доступен с требуемой аутентификацией и разрешёнными службами каталога. Материал политики затем приходит из SYSVOL, а это чтение SMB именно к тому контроллеру, а не проверка ICMP.

Более слабое доказательство легко принять за доказательство. Ответ ICMP от контроллера рядом с отклонённым чтением шаблона политики даёт отчёт, который выглядит пустым по причине, которую ещё никто не связал.

Держите разрешения службы AD, обратные пути и синхронизацию времени развёртывания согласованными, а не заменяйте их сплошным открытием брандмауэра или публичным DNS-сервером. Данные политики, различающиеся между контроллерами, — вопрос репликации для владельца каталога.

Одно обновление, два отчёта, одно сравнение

Когда путь доказан, запросите нужное обновление с помощью gpupdate /target:user и прочитайте результат, а не предполагайте его. Обновление по умолчанию применяет изменённую политику, тогда как /force запрашивает повторное применение; ни одно из них не исправляет DNS, права на файлы или фильтрацию. Некоторые расширения завершаются только при последующем входе или другом событии на переднем плане, поэтому один запуск — не приговор. Добавлять переключатели выхода или перезагрузки в сессию удалённого пользователя как рутинную диагностику — значит выбросить то, что у него было открыто.

Создайте второй отчёт под другим именем файла и сравните время обработки, ожидаемую GPO, её применённый или отклонённый статус и саму настройку. Отчёт из ранее успешной сессии ничего не доказывает об этом обновлении. Отфильтрованная политика указывает на применимость, а не на транспорт, и это меняет, кому принадлежит следующий шаг.

Привяжите сбой к одной единственной операции

В средстве просмотра событий начните с предупреждения или ошибки групповой политики в системном журнале, затем перейдите к операционному журналу GroupPolicy в разделе Журналы приложений и служб. Отфильтруйте этот операционный журнал по идентификатору операции того обновления, которое вы только что запустили, потому что новое обновление получает новый идентификатор, и смешивание его со вчерашними событиями даёт уверенный и неверный вывод. Запишите время, контекст пользователя или компьютера, выбранный контроллер, GPO, код ошибки и отказавшую зависимость.

Эта запись — то, на что может опираться владелец сети или каталога. Быть подключённым к VPN и несколько раз запустить gpupdate — не доказательства, и ни то, ни другое не переживёт передачи.

Держите HTML-отчёты конфиденциальными, потому что они раскрывают внутренние имена, членство в группах и конфигурацию безопасности. После подтверждения настройки удалите добавленные временные разрешения, а не оставляйте их на месте.