นโยบายกลุ่มหายไปบน VPN? ตรวจขอบเขตก่อนถึงอุโมงค์

สิ่งที่เคยมีผลในเครือข่ายสำนักงานหยุดมีผลในสัปดาห์ที่ผู้ใช้เริ่มทำงานผ่าน VPN และอุโมงค์ก็กลายเป็นผู้ถูกกล่าวหาก่อนที่ใครจะเปิดรายงานนโยบายกลุ่มเป็นตัวกำหนดว่าการตั้งค่าใดไปถึงผู้ใช้และคอมพิวเตอร์ Windows ดึงวัสดุจากโดเมนและรันการประมวลผลฝั่งไคลเอนต์ และทั้งสามขั้นตอนนั้นล้มเหลวคนละแบบสิ่งที่อุโมงค์เปลี่ยนมีเพียงเส้นทางที่ไคลเอนต์มีการไล่ตรวจตามลำดับช่วยไม่ให้ปัญหาเรื่องสิทธิ์ไฟล์ถูกไล่เป็นปัญหาเส้นทาง

เริ่มจากตัวตั้งค่า ไม่ใช่จากอุโมงค์

จด GPO ที่คาดไว้หนึ่งตัวและการตั้งค่าที่ชัดเจนหนึ่งอย่างในนั้น แล้วตัดสินว่าการตั้งค่านั้นอยู่ในส่วนกำหนดค่าผู้ใช้หรือส่วนกำหนดค่าคอมพิวเตอร์สิ่งนี้ถือว่าไคลเอนต์ Windows ที่ได้รับอนุญาตและผูกกับโดเมนบน VPN ที่อนุมัติแล้วกำลังทำงานอยู่ ไม่ใช่อุปกรณ์ที่ไม่ได้จัดการหรือมีเฉพาะในคลาวด์ซึ่งถูกทำให้เป็นสมาชิกโดเมนคำตอบเรื่องขอบเขตเป็นตัวกำหนดว่าใครอ่านผลได้และต้องยกระดับสิทธิ์หรือไม่ ดังนั้นจัดการเรื่องนี้ก่อนรันอะไรทั้งสิ้น

ถามผู้ดูแลโดเมนว่าลิงก์ ตำแหน่งออบเจ็กต์ ตัวกรองความปลอดภัย และตัวกรอง WMI ใดควรมีผลอยู่การเปลี่ยนตัวควบคุมเหล่านั้นเพื่อให้การทดสอบผ่านเป็นอีกโครงการที่มีเจ้าของอีกคน

อ่านรายงานด้วยบัญชีที่เป็นเจ้าของการตั้งค่า

ในเซสชันของผู้ใช้ที่ได้รับผลกระทบเอง ให้รัน whoami /user แล้วจึงรัน gpresult /scope user /rบัญชีที่ยืนยันตัวตน VPN ไม่ใช่บัญชี Windows ที่คุณกำลังอ่านนโยบายโดยอัตโนมัติ และการตรวจจากบัญชีผู้ดูแลตอบคำถามอีกข้อหนึ่งบันทึกเส้นฐานด้วยชื่อไฟล์ใหม่ เช่น %TEMP%\vpn-policy-user-before.htmlเอกสารอ้างอิง gpresultอธิบายสวิตช์ขอบเขตและเอาต์พุต และควรรู้ว่าการสร้างรายงานไม่ได้รีเฟรชสิ่งใด นโยบายคอมพิวเตอร์มีขอบเขตและบริบทสิทธิ์ของตัวเอง จึงตรวจแยกด้วยการยกระดับสิทธิ์ที่จำเป็น

การรวมสองขอบเขตไว้ในรายงานเดียวคือวิธีที่การตั้งค่าผู้ใช้ถูกประกาศว่าหายไปทั้งที่ไม่เคยอยู่ในขอบเขตนั้น

การค้นพบไม่ใช่การเข้าถึง: ระเบียน SRV ก่อน แล้วจึง SMB

เมื่อเชื่อมต่อ VPN ที่อนุมัติแล้ว ให้ยืนยันว่าไคลเอนต์แก้ชื่อตัวควบคุมโดเมนผ่านเส้นทาง DNS ที่ตั้งใจไว้การที่เว็บไซต์สาธารณะโหลดได้ไม่บอกอะไรเกี่ยวกับการค้นพบตัวควบคุมสำหรับโดเมนตัวอย่าง corp.example นั้น nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example ตอบคำถามที่คุณมีจริง ๆระเบียนบริการที่ส่งกลับมาเป็นเพียงหลักฐานการค้นพบ เพราะที่อยู่ของตัวควบคุมที่เลือกยังต้องเข้าถึงได้ด้วยการยืนยันตัวตนที่ต้องการและบริการไดเรกทอรีที่อนุญาตวัสดุนโยบายจึงมาจาก SYSVOL ซึ่งเป็นการอ่าน SMB ไปยังตัวควบคุมนั้นโดยเฉพาะ ไม่ใช่การทดสอบ ICMP

หลักฐานที่อ่อนกว่าถูกเข้าใจผิดว่าเป็นข้อพิสูจน์ได้ง่ายการตอบกลับ ICMP จากตัวควบคุม ควบคู่กับการอ่านเทมเพลตนโยบายที่ถูกปฏิเสธ ทำให้เกิดรายงานที่ดูว่างเปล่าด้วยเหตุผลที่ยังไม่มีใครเชื่อมโยง

รักษาสิทธิ์บริการ AD เส้นทางกลับ และการซิงโครไนซ์เวลาในการติดตั้งให้สอดคล้องกัน แทนที่จะแทนที่ด้วยการเปิดไฟร์วอลล์ทั้งระบบหรือเซิร์ฟเวอร์ DNS สาธารณะข้อมูลนโยบายที่ต่างกันระหว่างตัวควบคุมเป็นคำถามเรื่องการทำซ้ำสำหรับเจ้าของไดเรกทอรี

รีเฟรชหนึ่งครั้ง รายงานสองฉบับ การเปรียบเทียบหนึ่งครั้ง

เมื่อพิสูจน์เส้นทางได้แล้ว ให้ขอรีเฟรชที่เกี่ยวข้องด้วย gpupdate /target:user และอ่านผลแทนที่จะสันนิษฐานการรีเฟรชค่าเริ่มต้นใช้นโยบายที่เปลี่ยนไป ขณะที่ /force ขอให้ใช้ซ้ำ ทั้งสองอย่างไม่ได้ซ่อม DNS สิทธิ์ไฟล์ หรือการกรองส่วนขยายบางตัวจะเสร็จเฉพาะในการลงชื่อเข้าใช้ครั้งถัดไปหรือเหตุการณ์อื่นในเบื้องหน้า ดังนั้นการรันครั้งเดียวไม่ใช่คำตัดสินการเพิ่มสวิตช์ออกจากระบบหรือรีสตาร์ตในเซสชันของผู้ใช้ระยะไกลเป็นงานวินิจฉัยประจำจะทิ้งสิ่งที่เขามีอยู่

สร้างรายงานฉบับที่สองด้วยชื่อไฟล์อื่นและเปรียบเทียบเวลาประมวลผล GPO ที่คาดไว้ สถานะที่ใช้งานหรือถูกปฏิเสธ และตัวตั้งค่าเองรายงานจากเซสชันที่สำเร็จก่อนหน้าไม่ได้พิสูจน์สิ่งใดเกี่ยวกับการรีเฟรชครั้งนี้นโยบายที่ถูกกรองออกชี้ไปที่ความใช้ได้ ไม่ใช่การรับส่ง ซึ่งเปลี่ยนว่าใครเป็นเจ้าของขั้นต่อไป

ผูกความล้มเหลวกับกิจกรรมเดียว

ในตัวดูเหตุการณ์ เริ่มจากคำเตือนหรือข้อผิดพลาดของนโยบายกลุ่มในบันทึกระบบ แล้วไปที่บันทึกการทำงาน GroupPolicy ภายใต้บันทึกแอปพลิเคชันและบริการกรองบันทึกการทำงานนั้นด้วยตัวระบุกิจกรรมของการรีเฟรชที่คุณเพิ่งรัน เพราะการรีเฟรชใหม่ได้ตัวระบุใหม่ และการผสมกับเหตุการณ์ของเมื่อวานทำให้ได้ข้อสรุปที่มั่นใจแต่ผิดบันทึกเวลา บริบทผู้ใช้หรือคอมพิวเตอร์ ตัวควบคุมที่เลือก GPO รหัสข้อผิดพลาด และการพึ่งพาที่ล้มเหลว

บันทึกนั้นคือสิ่งที่เจ้าของเครือข่ายหรือไดเรกทอรีใช้ดำเนินการได้การเชื่อมต่อ VPN และการรัน gpupdate หลายครั้งไม่ใช่หลักฐาน และทั้งสองอย่างไม่รอดจากการส่งมอบ

เก็บรายงาน HTML เป็นส่วนตัว เพราะเปิดเผยชื่อภายใน สมาชิกกลุ่ม และการกำหนดค่าความปลอดภัยเมื่อยืนยันการตั้งค่าแล้ว ให้ลบสิทธิ์ชั่วคราวที่คุณเพิ่มไว้แทนที่จะปล่อยไว้