Thiếu Chính sách Nhóm trên VPN? Kiểm tra phạm vi trước đường hầm

Một thứ từng có hiệu lực trên mạng văn phòng ngừng có hiệu lực vào tuần người dùng bắt đầu làm việc qua VPN, và đường hầm bị đổ lỗi trước khi ai đó mở một báo cáo. Chính sách Nhóm quyết định cài đặt nào đến được người dùng và máy tính Windows, lấy tài liệu từ miền và chạy quá trình xử lý phía máy khách, và ba bước đó thất bại theo ba cách khác nhau. Đường hầm chỉ thay đổi việc máy khách có đường nào. Việc đi qua các bước kiểm tra theo thứ tự giúp một vấn đề quyền tệp không bị truy đuổi như một vấn đề định tuyến.

Bắt đầu từ cài đặt, không phải từ đường hầm

Ghi ra một GPO dự kiến và một cài đặt cụ thể bên trong nó, rồi quyết định cài đặt đó nằm trong Cấu hình Người dùng hay Cấu hình Máy tính. Điều này giả định một máy khách Windows được cấp phép và đã tham gia miền trên một VPN được phê duyệt, không phải một thiết bị không được quản lý hoặc chỉ trên đám mây bị biến thành thành viên miền. Câu trả lời về phạm vi quyết định ai được đọc kết quả và có cần nâng quyền hay không, vì vậy hãy giải quyết điều đó trước khi chạy bất cứ thứ gì.

Hỏi quản trị viên miền xem liên kết, vị trí đối tượng, bộ lọc bảo mật và bộ lọc WMI nào cần có hiệu lực. Thay đổi các kiểm soát đó để một bài kiểm tra vượt qua là một dự án khác với một chủ sở hữu khác.

Đọc báo cáo bằng tài khoản sở hữu cài đặt

Trong phiên của chính người dùng bị ảnh hưởng, hãy chạy whoami /user rồi gpresult /scope user /r. Tài khoản đã xác thực VPN không tự động là tài khoản Windows mà bạn đang đọc chính sách, và một bước kiểm tra từ tài khoản quản trị trả lời một câu hỏi khác. Lưu đường cơ sở dưới một tên tệp mới, ví dụ %TEMP%\vpn-policy-user-before.html. tham chiếu gpresult ghi lại các công tắc phạm vi và đầu ra, và cần biết rằng việc tạo báo cáo không làm mới điều gì.

Chính sách máy tính có phạm vi và ngữ cảnh quyền riêng, vì vậy hãy xem xét nó riêng với mức nâng quyền cần thiết. Gộp cả hai phạm vi vào một báo cáo chính là cách một cài đặt người dùng bị tuyên bố là thiếu trong khi nó chưa bao giờ nằm trong phạm vi đó.

Khám phá không phải truy cập: trước hết bản ghi SRV, sau đó SMB

Khi VPN được phê duyệt đã kết nối, hãy xác nhận rằng máy khách phân giải các bộ điều khiển miền qua đường DNS dự kiến; một trang web công khai tải được không nói gì về việc khám phá bộ điều khiển. Với miền ví dụ corp.example, nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example trả lời câu hỏi mà bạn thực sự có. Bản ghi dịch vụ được trả về chỉ là bằng chứng khám phá, vì địa chỉ của bộ điều khiển được chọn vẫn phải truy cập được với xác thực cần thiết và các dịch vụ thư mục được phép. Tài liệu chính sách sau đó đến từ SYSVOL, đó là một lần đọc SMB đối với chính bộ điều khiển đó chứ không phải một bài kiểm tra ICMP.

Bằng chứng yếu hơn dễ bị nhầm với bằng chứng. Một phản hồi ICMP từ bộ điều khiển, bên cạnh việc đọc bị từ chối một mẫu chính sách, tạo ra một báo cáo trông trống vì một lý do mà chưa ai kết nối.

Giữ quyền dịch vụ AD, các đường trả về và đồng bộ thời gian của triển khai nhất quán, thay vì thay thế chúng bằng một lần mở tường lửa toàn bộ hoặc một máy chủ DNS công khai. Dữ liệu chính sách khác nhau giữa các bộ điều khiển là một câu hỏi sao chép cho chủ sở hữu thư mục.

Một lần làm mới, hai báo cáo, một so sánh

Khi đường đi đã được chứng minh, hãy yêu cầu lần làm mới liên quan bằng gpupdate /target:user và đọc kết quả thay vì giả định. Lần làm mới mặc định áp dụng chính sách đã thay đổi trong khi /force yêu cầu áp dụng lại; không cái nào sửa DNS, quyền tệp hay lọc. Một số tiện ích chỉ hoàn tất ở lần đăng nhập sau hoặc một sự kiện tiền cảnh khác, nên một lần chạy không phải là phán quyết. Thêm công tắc đăng xuất hoặc khởi động lại vào phiên của người dùng từ xa như chẩn đoán thường quy sẽ ném đi những gì họ đang mở.

Tạo báo cáo thứ hai dưới một tên tệp khác và so sánh thời gian xử lý, GPO dự kiến, trạng thái được áp dụng hoặc bị từ chối và chính cài đặt đó. Một báo cáo từ phiên thành công trước đó không chứng minh được gì về lần làm mới này. Một chính sách bị lọc ra chỉ ra khả năng áp dụng chứ không phải việc truyền tải, điều này thay đổi ai sở hữu bước tiếp theo.

Gắn thất bại với một hoạt động duy nhất

Trong Trình xem Sự kiện, hãy bắt đầu với cảnh báo hoặc lỗi Chính sách Nhóm trong nhật ký Hệ thống, rồi chuyển sang nhật ký vận hành GroupPolicy trong Nhật ký Ứng dụng và Dịch vụ. Lọc nhật ký vận hành đó theo mã định danh hoạt động của lần làm mới bạn vừa chạy, vì một lần làm mới mới nhận một mã định danh mới và việc trộn nó với các sự kiện hôm qua tạo ra một kết luận tự tin nhưng sai. Ghi lại thời gian, ngữ cảnh người dùng hoặc máy tính, bộ điều khiển được chọn, GPO, mã lỗi và phụ thuộc bị lỗi.

Bản ghi đó là thứ mà chủ sở hữu mạng hoặc thư mục có thể hành động dựa trên. Việc đã kết nối VPN và đã chạy gpupdate vài lần không phải là bằng chứng, và cả hai đều không tồn tại qua một lần bàn giao.

Giữ các báo cáo HTML ở chế độ riêng tư, vì chúng phơi bày tên nội bộ, tư cách thành viên nhóm và cấu hình bảo mật. Sau khi cài đặt được xác nhận, hãy gỡ các quyền tạm thời mà bạn đã thêm thay vì để chúng tại chỗ.