Sera ya Kikundi haipo kwenye VPN? Angalia wigo kabla ya handaki

Kitu kilichotumika kwenye mtandao wa ofisi kinaacha kutumika katika wiki ambayo mtumiaji anaanza kufanya kazi kupitia VPN, na handaki linapewa lawama kabla ya mtu yeyote kufungua ripoti. Sera ya Kikundi huamua ni mipangilio ipi inayofika kwa mtumiaji na kompyuta ya Windows, huchukua nyenzo kutoka kwa kikoa na hufanya usindikaji upande wa mteja, na hatua hizo tatu hushindwa kwa njia tatu tofauti. Handaki hubadilisha tu njia ambayo mteja anayo. Kupitia ukaguzi kwa mpangilio huzuia tatizo la ruhusa za faili kufuatwa kama tatizo la uelekezaji.

Anza na mpangilio, si handaki

Andika GPO moja inayotarajiwa na mpangilio mmoja mahususi ndani yake, kisha amua kama mpangilio uko katika Usanidi wa Mtumiaji au Usanidi wa Kompyuta. Hii inadhania mteja wa Windows aliyeruhusiwa na aliyejiunga na kikoa kwenye VPN iliyoidhinishwa, si kifaa kisichosimamiwa au cha wingu pekee kinachofanywa kuwa mwanachama wa kikoa. Jibu la wigo huamua nani anaweza kusoma matokeo na kama upandishaji wa ruhusa unahitajika, kwa hivyo tatua hilo kabla ya kuendesha chochote.

Uliza msimamizi wa kikoa ni kiungo kipi, mahali pa kitu, vichujio vya usalama na vichujio vya WMI vinavyopaswa kufanya kazi. Kubadilisha vidhibiti hivyo ili jaribio lipite ni mradi mwingine wenye mmiliki mwingine.

Soma ripoti kwa akaunti inayomiliki mpangilio

Katika kipindi cha mtumiaji aliyeathirika, endesha whoami /user kisha gpresult /scope user /r. Akaunti iliyothibitisha VPN si akaunti ya Windows ambayo unasoma sera yake kiotomatiki, na ukaguzi kutoka akaunti ya msimamizi hujibu swali lingine. Hifadhi msingi chini ya jina jipya la faili, kama %TEMP%\vpn-policy-user-before.html. marejeleo ya gpresult huelaza swichi za wigo na matokeo, na inafaa kujua kwamba kutengeneza ripoti hakuboreshi chochote.

Sera ya kompyuta ina wigo wake na muktadha wake wa ruhusa, kwa hivyo ichunguze kwa tofauti na upandishaji unaohitajika. Kuunganisha wigo wote wawili katika ripoti moja ndiyo njia ambayo mpangilio wa mtumiaji hutangazwa kuwa haupo wakati haukuwa kamwe katika wigo huo.

Ugunduzi si ufikiaji: kwanza rekodi za SRV, kisha SMB

Wakati VPN iliyoidhinishwa imeunganishwa, thibitisha kwamba mteja hutatua vidhibiti vya kikoa kupitia njia iliyokusudiwa ya DNS; tovuti ya umma inayopakia haisemi chochote kuhusu ugunduzi wa vidhibiti. Kwa kikoa cha mfano corp.example, nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example hujibu swali ambalo kweli unalo. Rekodi ya huduma inayorudishwa ni ushahidi wa ugunduzi pekee, kwa sababu anwani ya kidhibiti kilichochaguliwa bado inapaswa kufikiwa kwa uthibitishaji unaohitajika na huduma za saraka zilizoruhusiwa. Nyenzo za sera kisha huja kutoka SYSVOL, ambayo ni usomaji wa SMB dhidi ya kidhibiti hicho mahususi na si jaribio la ICMP.

Ushahidi hafifu huchanganywa kwa urahisi na ushahidi. Jibu la ICMP kutoka kwa kidhibiti, kando ya usomaji uliokataliwa wa kiolezo cha sera, hutoa ripoti inayoonekana tupu kwa sababu ambayo hakuna mtu aliyeunganisha bado.

Weka ruhusa za huduma za AD, njia za kurudi na usawazishaji wa muda wa usambazaji zikiwa sawa, badala ya kuzibadilisha kwa ufunguzi wa jumla wa ngome au seva ya DNS ya umma. Data ya sera inayotofautiana kati ya vidhibiti ni suala la urudufishaji kwa mmiliki wa saraka.

Uboreshaji mmoja, ripoti mbili, ulinganisho mmoja

Njia ikiwa imethibitishwa, omba uboreshaji husika kwa gpupdate /target:user na soma matokeo badala ya kuyadhania. Uboreshaji chaguo-msingi hutumia sera iliyobadilishwa wakati /force inaomba utumiaji upya; hakuna hata moja inayotengeneza DNS, ruhusa za faili au uchujaji. Viendelezi vingine hukamilika tu kwenye kuingia kwa baadaye au tukio lingine la mbele, kwa hivyo uendeshaji mmoja si hukumu. Kuongeza swichi za kutoka au kuanzisha upya kwenye kipindi cha mtumiaji wa mbali kama uchunguzi wa kawaida hutupa kile alichokuwa amekifungua.

Tengeneza ripoti ya pili chini ya jina lingine la faili na linganisha muda wa usindikaji, GPO inayotarajiwa, hali yake iliyotumika au iliyokataliwa na mpangilio wenyewe. Ripoti kutoka kipindi kilichofanikiwa awali haithibitishi chochote kuhusu uboreshaji huu. Sera iliyochujwa inaonyesha uhalali wa kutumika badala ya usafirishaji, jambo linalobadilisha nani anamiliki hatua inayofuata.

Funga kushindwa na shughuli moja pekee

Katika Kiona cha Matukio, anza na onyo au hitilafu ya Sera ya Kikundi katika kumbukumbu ya Mfumo, kisha nenda kwenye kumbukumbu ya uendeshaji ya GroupPolicy chini ya Kumbukumbu za Programu na Huduma. Chuja kumbukumbu hiyo ya uendeshaji kwa kitambulisho cha shughuli ya uboreshaji uliouendesha sasa hivi, kwa sababu uboreshaji mpya hupata kitambulisho kipya na kuichanganya na matukio ya jana hutoa hitimisho la kujiamini na lisilo sahihi. Rekodi muda, muktadha wa mtumiaji au kompyuta, kidhibiti kilichochaguliwa, GPO, msimbo wa hitilafu na utegemezi ulioshindwa.

Rekodi hiyo ndiyo kitu ambacho mmiliki wa mtandao au saraka anaweza kuchukua hatua juu yake. Kuwa umeunganishwa kwenye VPN na kuendesha gpupdate mara kadhaa si ushahidi, na hakuna kimoja kinachostahimili ukabidhaji.

Weka ripoti za HTML kuwa za faragha, kwa sababu zinafunua majina ya ndani, uanachama wa vikundi na usanidi wa usalama. Mpangilio ukithibitishwa, ondoa ruhusa za muda ulizoongeza badala ya kuziacha zilipo.