VPN'de Grup İlkesi yok mu? Tünelden önce kapsamı denetleyin

Ofis ağında geçerli olan bir şey, kullanıcının VPN üzerinden çalışmaya başladığı hafta geçerliliğini yitirir ve kimse bir rapor açmadan tünel suçlanır. Hangi ayarların Windows kullanıcısına ve bilgisayarına ulaşacağına Grup İlkesi karar verir, malzemeyi etki alanından çeker ve istemci tarafındaki işlemeyi yürütür, ve bu üç adım üç farklı şekilde başarısız olur. Tünel yalnızca istemcinin hangi yola sahip olduğunu değiştirir. Denetimleri sırayla yürütmek, bir dosya izni sorununun yönlendirme sorunu olarak kovalanmasını önler.

Tünelden değil, ayardan başlayın

Beklenen bir GPO ve içindeki somut bir ayar yazın, ardından bu ayarın Kullanıcı Yapılandırması'nda mı yoksa Bilgisayar Yapılandırması'nda mı olduğuna karar verin. Bu, onaylanmış bir VPN üzerinde etki alanına katılmış yetkili bir Windows istemcisini varsayar, etki alanı üyesi yapılan yönetilmeyen veya yalnızca bulutta olan bir aygıtı değil. Kapsam yanıtı sonucu kimin okuyabileceğini ve yetki yükseltmenin gerekip gerekmediğini belirler, bu yüzden herhangi bir şey çalıştırmadan önce bunu netleştirin.

Etki alanı yöneticisine hangi bağlantının, nesne konumunun, güvenlik filtrelerinin ve WMI filtrelerinin devrede olması gerektiğini sorun. Bir testin geçmesi için bu denetimleri değiştirmek, başka bir sahibi olan başka bir projedir.

Raporu, ayarın sahibi olan hesapla okuyun

Etkilenen kullanıcının kendi oturumunda whoami /user ve ardından gpresult /scope user /r çalıştırın. VPN'i kimlik doğrulayan hesap, ilkesini okuduğunuz Windows hesabı otomatik olarak değildir ve bir yönetici hesabından yapılan denetim başka bir soruyu yanıtlar. Temel durumu yeni bir dosya adıyla, örneğin %TEMP%\vpn-policy-user-before.html gibi kaydedin. gpresult başvurusu kapsam ve çıktı anahtarlarını belgeler ve rapor oluşturmanın hiçbir şeyi yenilemediğini bilmekte yarar var.

Bilgisayar ilkesinin kendi kapsamı ve kendi izin bağlamı vardır, bu yüzden onu gereken yetki yükseltmesiyle ayrı inceleyin. İki kapsamı tek bir raporda birleştirmek, bir kullanıcı ayarının hiç o kapsamda olmadığı halde eksik ilan edilmesinin yoludur.

Keşif erişim değildir: önce SRV kayıtları, sonra SMB

Onaylanmış VPN bağlıyken, istemcinin etki alanı denetleyicilerini amaçlanan DNS yolu üzerinden çözdüğünü doğrulayın; yüklenen bir genel web sitesi denetleyici keşfi hakkında hiçbir şey söylemez. Örnek etki alanı corp.example için nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example gerçekten sahip olduğunuz soruyu yanıtlar. Döndürülen hizmet kaydı yalnızca keşif kanıtıdır, çünkü seçilen denetleyicinin adresine yine de gereken kimlik doğrulama ve izin verilen dizin hizmetleriyle ulaşılabilmesi gerekir. İlke malzemesi sonra SYSVOL'den gelir, bu tam o denetleyiciye karşı bir SMB okumasıdır ve bir ICMP testi değildir.

Daha zayıf kanıt kolayca kanıt sanılır. Bir denetleyiciden gelen ICMP yanıtı, bir ilke şablonunun reddedilen okumasının yanında, kimsenin henüz bağlamadığı bir nedenle boş görünen bir rapor üretir.

Dağıtımın AD hizmet izinlerini, dönüş yollarını ve saat eşitlemesini tutarlı tutun; bunları genel bir güvenlik duvarı açıklığı veya genel bir DNS sunucusuyla değiştirmeyin. Denetleyiciler arasında farklılık gösteren ilke verileri, dizin sahibi için bir çoğaltma sorunudur.

Bir yenileme, iki rapor, bir karşılaştırma

Yol kanıtlandığında, ilgili yenilemeyi gpupdate /target:user ile isteyin ve varsaymak yerine sonucu okuyun. Varsayılan yenileme değişen ilkeyi uygular, /force ise yeniden uygulama ister; ikisi de DNS'i, dosya izinlerini veya filtrelemeyi onarmaz. Bazı uzantılar yalnızca daha sonraki bir oturum açmada veya başka bir ön plan olayında tamamlanır, bu yüzden tek bir çalıştırma hüküm değildir. Uzak bir kullanıcının oturumuna günlük tanılama olarak oturum kapatma veya yeniden başlatma anahtarları eklemek, açık tuttuğu her şeyi çöpe atar.

Farklı bir dosya adı altında ikinci bir rapor oluşturun ve işlem süresini, beklenen GPO'yu, uygulanmış veya reddedilmiş durumunu ve ayarın kendisini karşılaştırın. Önceki başarılı bir oturumun raporu bu yenileme hakkında hiçbir şey kanıtlamaz. Filtrelenerek dışlanan bir ilke, aktarım yerine uygulanabilirliğe işaret eder, bu da sonraki adımın kime ait olduğunu değiştirir.

Hatayı tek bir etkinliğe bağlayın

Olay Görüntüleyicisi'nde sistem günlüğündeki Grup İlkesi uyarısı veya hatasıyla başlayın, ardından Uygulama ve Hizmet Günlükleri altındaki GroupPolicy işlem günlüğüne geçin. Bu işlem günlüğünü, az önce çalıştırdığınız yenilemenin etkinlik tanımlayıcısına göre filtreleyin, çünkü yeni bir yenileme yeni bir tanımlayıcı alır ve bunu dünün olaylarıyla karıştırmak kendinden emin ve yanlış bir sonuç verir. Saati, kullanıcı veya bilgisayar bağlamını, seçilen denetleyiciyi, GPO'yu, hata kodunu ve başarısız bağımlılığı kaydedin.

O kayıt, ağ veya dizin sahibinin üzerinde işlem yapabileceği şeydir. VPN'e bağlı olmak ve gpupdate'i birkaç kez çalıştırmış olmak kanıt değildir ve ikisi de bir devir teslimden sağ çıkmaz.

HTML raporlarını özel tutun, çünkü iç adları, grup üyeliklerini ve güvenlik yapılandırmasını açığa çıkarırlar. Ayar onaylandığında, eklediğiniz geçici izinleri yerinde bırakmak yerine kaldırın.