Na VPN manjka skupinska politika? Pred tunelom preverite obseg

Nekaj, kar je veljalo v pisarniškem omrežju, preneha veljati v tednu, ko uporabnik začne delati prek VPN, in tunel je kriv, preden kdo odpre poročilo. Skupinska politika odloča, katere nastavitve pridejo do uporabnika in računalnika Windows, pridobi gradivo iz domene in izvede obdelavo na strani odjemalca, in ti trije koraki odpovedo na tri različne načine. Tunel spremeni le, kakšno pot ima odjemalec. Če kontrole izvedete po vrsti, preprečite, da bi se težava z dovoljenji za datoteke lovila kot težava z usmerjanjem.

Začnite z nastavitvijo, ne s tunelom

Zapišite eno pričakovano GPO in eno konkretno nastavitev v njej, nato odločite, ali je ta nastavitev v uporabniški ali v računalniški konfiguraciji. To predpostavlja pooblaščenega odjemalca Windows, pridruženega domeni, v odobrenem VPN, ne neupravljane ali samo v oblaku delujoče naprave, ki se spremeni v člana domene. Odgovor o obsegu odloča, kdo sme brati rezultat in ali je potrebna povišava pravic, zato to razrešite, preden kar koli zaženete.

Vprašajte skrbnika domene, katera povezava, mesto objekta, varnostni filtri in filtri WMI naj bodo v igri. Spreminjanje teh kontrol, da bi test uspel, je drug projekt z drugim lastnikom.

Poročilo berite z računom, ki mu nastavitev pripada

V uporabnikovi lastni seji zaženite whoami /user in nato gpresult /scope user /r. Račun, ki je overil VPN, ni samodejno tisti račun Windows, katerega politiko berete, in preverjanje iz skrbniškega računa odgovarja na drugo vprašanje. Shranite izhodiščno stanje pod novim imenom datoteke, na primer %TEMP%\vpn-policy-user-before.html. referenca gpresult opisuje stikala za obseg in izhod, in vredno je vedeti, da ustvarjanje poročila ničesar ne osveži.

Računalniška politika ima svoj obseg in svoj kontekst dovoljenj, zato jo preglejte ločeno s potrebno povišavo pravic. Združevanje obeh obsegov v eno poročilo je način, na katerega se uporabniška nastavitev razglasi za manjkajočo, čeprav nikoli ni bila v tem obsegu.

Odkritje ni dostop: najprej zapisi SRV, nato SMB

Ob povezanem odobrenem VPN potrdite, da odjemalec razrešuje krmilnike domene po predvideni poti DNS; javno spletno mesto, ki se naloži, ne pove ničesar o odkrivanju krmilnikov. Za zgledno domeno corp.example nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example odgovori na vprašanje, ki ga res imate. Vrnjeni zapis storitve je le dokaz odkritja, ker mora biti naslov izbranega krmilnika še vedno dosegljiv z zahtevanim preverjanjem pristnosti in dovoljenimi imenikskimi storitvami. Gradivo politike nato pride iz SYSVOL, kar je branje SMB proti prav tistemu krmilniku in ne preskus ICMP.

Šibkejši dokaz zamenjamo za dokaz. Odgovor ICMP s krmilnika ob zavrnjenem branju predloge politike ustvari poročilo, ki je videti prazno zaradi razloga, ki ga še nihče ni povezal.

Naj bodo dovoljenja storitve AD, povratne poti in sinhronizacija časa uvajanja usklajeni, namesto da jih nadomestite s splošnim odpiranjem požarnega zidu ali javnim strežnikom DNS. Podatki politike, ki se med krmilniki razlikujejo, so vprašanje replikacije za lastnika imenika.

Ena osvežitev, dve poročili, ena primerjava

Ko je pot dokazana, zahtevajte ustrezno osvežitev z gpupdate /target:user in preberite rezultat, namesto da bi ga predpostavili. Privzeta osvežitev uporabi spremenjeno politiko, medtem ko /force zahteva ponovno uporabo; nobena ne popravi DNS, dovoljenj za datoteke ali filtriranja. Nekatere razširitve se zaključijo šele ob poznejši prijavi ali drugem dogodku v ospredju, zato ena izvedba ni razsodba. Dodajanje stikal za odjavo ali ponovni zagon v sejo oddaljenega uporabnika kot rutinsko diagnostiko zavrže, kar je imel odprto.

Ustvarite drugo poročilo pod drugim imenom datoteke in primerjajte čas obdelave, pričakovano GPO, njen uporabljeni ali zavrnjeni status in samo nastavitev. Poročilo iz prejšnje uspešne seje ne dokaže ničesar o tej osvežitvi. Filtrirana politika kaže na uporabnost in ne na prenos, kar spremeni, kdo ima naslednji korak.

Napako privežite na eno samo dejavnost

V Prikazu dogodkov začnite z opozorilom ali napako skupinske politike v sistemskem dnevniku, nato pojdite v operativni dnevnik GroupPolicy v Dnevnikih aplikacij in storitev. Filtrirajte ta operativni dnevnik po identifikatorju dejavnosti osvežitve, ki ste jo pravkar izvedli, ker nova osvežitev dobi nov identifikator, in če ga zmešate z včerajšnjimi dogodki, dobite samozavesten in napačen sklep. Zapišite čas, kontekst uporabnika ali računalnika, izbrani krmilnik, GPO, kodo napake in neuspelo odvisnost.

Ta zapis je tisto, na kar se lahko lastnik omrežja ali imenika opre. Biti povezan na VPN in večkrat zagnati gpupdate nista dokaz, in nobeno od tega ne preživi predaje.

Poročila HTML naj bodo zasebna, ker razkrivajo interna imena, članstva v skupinah in varnostno konfiguracijo. Ko je nastavitev potrjena, odstranite začasna dovoljenja, ki ste jih dodali, namesto da jih pustite na mestu.