Chýba skupinová politika na VPN? Pred tunelom skontrolujte rozsah

Niečo, čo v kancelárskej sieti platilo, prestane platiť v týždni, keď používateľ začne pracovať cez VPN, a tunel je obvinený skôr, než niekto otvorí správu. Skupinová politika rozhoduje, ktoré nastavenia sa dostanú k používateľovi a počítaču s Windows, sťahuje materiál z domény a vykonáva spracovanie na strane klienta, a tieto tri kroky zlyhávajú tromi rôznymi spôsobmi. Tunel mení len to, akú cestu klient má. Prejdenie kontrol v poradí zabráni tomu, aby sa problém s právami k súborom naháňal ako problém s routingom.

Začnite nastavením, nie tunelom

Zapíšte jednu očakávanú GPO a jedno konkrétne nastavenie v nej, potom rozhodnite, či toto nastavenie patrí do konfigurácie používateľa alebo počítača. To predpokladá autorizovaného klienta Windows pripojeného k doméne na schválenej VPN, a nie nespravované alebo čisto cloudové zariadenie, ktoré sa stáva členom domény. Odpoveď o rozsahu určuje, kto smie výsledok čítať a či je potrebné zvýšenie oprávnení, tak to vyriešte skôr, než čokoľvek spustíte.

Opýtajte sa správcu domény, ktoré prepojenie, umiestnenie objektu, filtre zabezpečenia a filtre WMI majú byť v hre. Meniť tieto ovládacie prvky, aby test prešiel, je iný projekt s iným vlastníkom.

Čítajte správu pod účtom, ktorému nastavenie patrí

Vo vlastnej relácii postihnutého používateľa spustite whoami /user a potom gpresult /scope user /r. Účet, ktorý overil VPN, nie je automaticky ten účet Windows, ktorého politiku čítate, a kontrola spustená z účtu správcu odpovedá na inú otázku. Uložte východiskový stav pod novým názvom súboru, napríklad %TEMP%\vpn-policy-user-before.html. referenčná stránka ku gpresult opisuje prepínače rozsahu a výstupu a stojí za to vedieť, že vygenerovanie správy nič neobnoví.

Politika počítača má vlastný rozsah a kontext oprávnení, preto ju preskúmajte zvlášť s potrebným zvýšením oprávnení. Zlúčenie oboch rozsahov do jednej správy je spôsob, akým sa nastavenie používateľa vyhlási za chýbajúce, aj keď v tomto rozsahu nikdy nebolo.

Zistenie nie je prístup: najprv záznamy SRV, potom SMB

S pripojenou schválenou VPN potvrďte, že klient prekladá radiče domény zamýšľanou cestou DNS; načítaná verejná webová stránka nič nehovorí o zisťovaní radičov. Pre ilustratívnu doménu corp.example odpovedá nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example na otázku, ktorú skutočne máte. Vrátený záznam služby je len dôkaz zistenia, pretože adresa vybraného radiča musí byť naďalej dostupná s požadovaným overením a povolenými adresárovými službami. Materiál politiky potom prichádza zo SYSVOL, čo je čítanie SMB proti práve tomuto radiču, a nie test ICMP.

Slabší dôkaz sa ľahko zamení za dôkaz. Odpoveď ICMP z radiča vedľa odmietnutého čítania šablóny politiky vytvára správu, ktorá vyzerá prázdna z dôvodu, ktorý zatiaľ nikto nespojil.

Držte oprávnenia služieb AD, spätné cesty a synchronizáciu času nasadenia v súlade, namiesto toho, aby ste ich nahrádzali plošným otvorením firewallu alebo verejným serverom DNS. Údaje politiky, ktoré sa medzi radičmi líšia, sú otázka replikácie pre vlastníka adresára.

Jedno obnovenie, dve správy, jedno porovnanie

Keď je cesta preukázaná, vyžiadajte príslušné obnovenie pomocou gpupdate /target:user a prečítajte si výsledok namiesto toho, aby ste ho predpokladali. Predvolené obnovenie aplikuje zmenenú politiku, zatiaľ čo /force žiada opätovné použitie; ani jedno neopraví DNS, práva k súborom ani filtrovanie. Niektoré rozšírenia sa dokončia až pri ďalšom prihlásení alebo inej udalosti v popredí, takže jedno spustenie nie je verdikt. Pridávať prepínače pre odhlásenie alebo reštart do relácie vzdialeného používateľa ako rutinnú diagnostiku znamená zahodiť to, čo mal otvorené.

Vygenerujte druhú správu pod iným názvom súboru a porovnajte čas spracovania, očakávanú GPO, jej použitý alebo zamietnutý stav a samotné nastavenie. Správa z predchádzajúcej úspešnej relácie nič nedokazuje o tomto obnovení. Politika, ktorá bola odfiltrovaná, ukazuje na použiteľnosť, a nie na prenos, čo mení, kto vlastní ďalší krok.

Pripevnite zlyhanie k jedinej aktivite

V Prehliadači udalostí začnite upozornením alebo chybou skupinovej politiky v systémovom protokole, potom prejdite k operačnému protokolu GroupPolicy v Protokoloch aplikácií a služieb. Filtrujte tento operačný protokol podľa identifikátora aktivity obnovenia, ktoré ste práve spustili, pretože nové obnovenie dostane nový identifikátor a jeho zmiešanie s včerajšími udalosťami dáva sebavedomý a nesprávny záver. Zapíšte čas, kontext používateľa alebo počítača, vybraný radič, GPO, kód chyby a zlyhanú závislosť.

Tento záznam je to, na čo môže vlastník siete alebo adresára reagovať. Byť pripojený k VPN a spustiť gpupdate niekoľkokrát nie sú dôkazy a ani jedno neprežije odovzdanie.

Držte správy HTML v súkromí, pretože odhaľujú interné názvy, členstvo v skupinách a konfiguráciu zabezpečenia. Po potvrdení nastavenia odoberte dočasné oprávnenia, ktoré ste pridali, namiesto toho, aby ste ich nechali na mieste.