Comportamiento de GPOS a través de VPN

 Hola, 

A raíz de la proliferación de entornos de teletrabajo, muchos administradores de sistemas con Directorio Activo, están encontrando situaciones que no les eran comunes hasta ahora.

La instalación de software o lanzado de scripts de Log-in no está funcionando vía GPO, dado que habitualmente, los equipos iniciados fuera de la Lan, no ven a los controladores de dominio, hasta que iniciamos sesión en Windows e iniciamos la conexión VPN. 

Esto no sería así, si tuviésemos IPSEC, Direct Access o accesos VPN Always on, pero no es algo común de encontrar. 

Habilitación de DirectAccess | Microsoft Docs

Comportamiento

Por definición, y aunque no está popularizado este conocimiento, las gpos se procesan cada 90 minutos con una diferencia aleatoria de 30 minutos. Por lo que podemos decir, que todas las gpos que no se han procesado al estar el equipo conectado a la red en el inicio, finalmente se procesan, si el equipo permanece conectado a la VPN. Esto viene a ser igual, en cuanto a las GPOS con opciones de usuario.

Tenéis información sobre procesamiento Síncrono y Asíncrono y sobre el proceso de refresco aquí:

RefreshPolicy function (userenv.h) - Win32 apps | Microsoft Docs

Initial Processing of Group Policy | Microsoft Docs

Logon Optimization | Microsoft Docs

Actualizar la directiva de grupo | Microsoft Docs

Excepciones

Instalación de software, Scripts de logon y redirección de carpetas.

Lo dicho anteriormente es cierto, aunque es bien cierto también, que no todas las opciones configuradas en las GPOS se aplican cada 90 minutos. "Folder Redirection" por ejemplo, o la aplicación de Scripts de logon e instalación de software vía GPO, en las opciones de GPO por equipo, no se aplicarán nunca si el equipo no alcanza a los controladores de dominio en el arranque del sistema operativo. En cuanto a estas opciones lanzadas por usuario, si no se alcanzan los DCs tras la introducción de las credenciales.

Conectividades lentas

Aun con todo lo comentado, todo equipo conectado por VPN tendrá una conexión considerada lenta si esta ofrece 500kbps. Esta consideración es la que encontramos por defecto, aunque permite ser cambiada.

La política en cuestión, la podéis encontrar en las opciones por equipo: 

    Policies\Adminsitrative Templates\System\Group Policy

    Con nombre: Configure Group Policy slow link detection . Podréis variar la consideración entre 0 y        4.294.967.200 kbps. Si configuráis la cifra 0 desactivaréis la consideración de Slow Link.

La consideración lenta, también puede determinarse por otras situaciones a pesar de tener más de 500kbp, por ejemplo serían estas:

- Slow-link mode:  Determinación de latencia según path. (“Configure slow-link mode” policy on Vista for Offline Files | Microsoft Docs)

- Tiempo de espera: Control Slow Network Connection 120 milisegundos (GPS: Control slow network connection timeout for user profiles (gpsearch.azurewebsites.net)

- PingBufferSize: Algoritmo por cierto que ha varia en Windows Server 2019 y versiones superiores a Windows 10 1809. (https://docs.microsoft.com/en-us/troubleshoot/windows-server/user-profiles-and-logon/manage-profile-service-slow-link-detection#how-slow-link-detection-works-in-current-operating-systems)

La consideración de conexión lenta según PingBufferSize, ha variado según versión de Windows:

• Windows Server 2019 and Windows 10 1809: KB 4601383, February 16, 2021-KB4601383 (OS Build 17763.1790) Preview
• Windows 10 1909: KB 4601380, February 16, 2021—KB4601380 (OS Build 18363.1411) Preview
• Windows 10 20H1/20H2: KB 4601382, February 24, 2021—KB4601382 (OS Builds 19041.844 and 19042.844) Preview

También, podéis cambiar el comportamiento de conexión lenta a través de las siguientes opciones en GPO:

GPS: Wait for remote user profile (gpsearch.azurewebsites.net)

GPS: Prompt user when a slow network connection is detected (gpsearch.azurewebsites.net)

Diagnóstico de conexiones lentas

A modo de diagnóstico. El evento que veréis cuando no podremos por ejemplo aplicar un Roaming profile es el siguiente:

Log Name: Application

Source: Microsoft-Windows-User Profiles Service

Event ID:1543

Y por ejemplo, el aviso que un usuario verán en perfiles móviles dirá lo siguiente: 

Your roaming profile isn't synchronized with the server because a slow network connection is detected. You've been signed in with a local profile.

Más información la podéis encontrar aquí: https://docs.microsoft.com/en-us/troubleshoot/windows-server/user-profiles-and-logon/manage-profile-service-slow-link-detection#settings-that-control-slow-link-detection

Slow Link Mode - Archivos Offline

Event ID=1004

Description:  Path \server\share$ transitioned to slow link with latency = 81 and bandwidth = 258888 

“Configure slow-link mode” policy on Vista for Offline Files | Microsoft Docs

Las opciones de las directivas de grupo no aplicará en conexiones Slow Link son las siguientes:

COMPONENTE	FORZADO (Push)
Deployed Printer Connections	No
Disk Quotas	No
Folder Redirection	No
Scripts	No
Software Installation	No

GPOs de usuario no se aplican desde las últimas actualizaciones de servidores

Hola.

En concreto, seguro que estáis teniendo problemas en cuanto la aplicación de GPOs desde Junio, mes en el que se aplicó la actualización: MS16-072.

Problema

El problema, aunque es mas bien un cambio decidido en MSFT, afecta a GPOs en las que se ha eliminado el grupo "Usuarios autenticados" buscando que la GPO solo aplique a un grupo de usuarios concreto. Algo comunmente utilizado en las empresas para la distribución de configuraciones específicas, unidades de red, impresoras, etc.

Si no tenéis la configuración que aparece en la siguiente captura  y habéis añadido un grupo de usuarios en sustitución a Authenticated Users, podemos asegurar que vuestras GPOS no se están aplicando.

¿Cómo identificar y encontrar GPOs que no se están aplicando?

Análisis posible 1

Podéis utilizar el típico gpresult /h new-report.html y ver qué GPOs devuelven un “Reason Denied: Inaccessible, Empty or Disabled”

Análisis posible 2

También podéis usar el script: https://gallery.technet.microsoft.com/Powershell-script-to-cc281476

para tener una lista de GPOs ilegibles por los usuarios.

Solución 1

Como solución y aunque tengáis a un grupo concreto con permiso de "Read" y permiso de "Apply group Policy" pasa por añadir también al grupo "Authenticated Users" solo con permiso de "Read". Esto permitirá que la aplicación de la GPO seguirá siendo selectiva y única para el grupo concreto y no se aplicará a todos los usuarios del dominio.

Solución 2 (La mas aconsejada).

Para solucionar esta incidencia, debes añadir el grupo "Domain Computers" con permiso de "Read".  Por distintas razones, esta solución es la mas aconsejada.

Fuente:
https://support.microsoft.com/en-us/kb/3163622

Getting GPOS and GPO Links

Hello.

This script creates a txt file with the next information:

- GPOName
- LinksTo
- Enabled
- NoOverride
- CreatedDate
- ModifiedDate


Script:

$names=get-gpo -all
        $output= foreach ($name in $names) {
            get-gpolink -name $name.DisplayName
            }
         $output | out-file C:\temp\GpoandLinks.txt

Crear .adm “templates” personalizados

 

Hola.

Pocas son las veces que utilizamos la posibilidad no de importar y exportar archivos .adm para añadir contenido a nuestras gpos en AD, sino que además creamos esos adm para modificar parámetros que en muchas ocasiones preferimos modificar vía script en log on, etc.

Sin embargo, todo administrador de AD elegiría la posibilidad de llegar vía gpo ya que por ejemplo, nos olvidamos de equipos que conectan por vpn y otras circunstancias a las que vía log on no llegamos y tenemos que ir creando tareas programadas y demás.

En este artículo, pretendo daros una nociones básicas de como crear vuestros propios archivos .adm para que pudieseis incluso crear una gpo general con modificaciones de diversos programas, donde, por ejemplo, podamos tener tanto la directiva de contraseñas como la personalización de los adobe reader que hay en todo equipo de la empresa.

CONCEPTOS

Antes de nada comentar que prácticamente todo se basa en la modificación del registro y para ello tenemos que tener bien claro la existencia  de los arboles “Hkey_local_machine” y Hkey_current_user” los cuales tiene prácticamente un reflejo directo en las directivas de equipo y usuario que sabéis, existen en cada gpo.

En relación a lo que tenemos entre manos, vamos a trabajar con estos conceptos básicos:

1. Class

2. Category

3.Policy

4.Keyname

5.Valuename

Los archivos que se importan en la consola de administración de directivas de grupo, tienen la extensión .adm y estos archivos los podéis generar simplemente con notepad, guardando no como texto si no como archivo sin formato y escribiendo tras el nombre, la extensión .adm.

 

EJEMPLO 1

En las capturas siguientes, podéis ver ejemplos y entender donde se ubica cada uno de estos “items”

 

Por tanto una estructura básica podría ser:

Class “clase”

    Category “Policy”

        Keyname “keyname”

        Valuename “Valuename”
        Valueon numeric 0
        Valueon numeric 1

    End Policy

End Category

 

Si además quisiéramos incluir texto en la solapa “Explain” tendríamos que poner al final del texto:

[strings]
policy = “texto”

Esto lo guardaríamos como archivo template.adm y luego lo importaríamos como se ve la siguiente captura:

(Consola de administración de directivas de grupo)

EJEMPLO 2

Un ejemplo más claro pero más complejo se muestra a continuación, en él, crearemos una directiva para adobe que nos modifica una clave del registro:

 

CLASS USER
    CATEGORY !!Adobe10Header
        CATEGORY "Adobe Reader 10"
            CATEGORY "Preferences"
                    CATEGORY "General"
                        CATEGORY "Application Startup"
                                POLICY "Show splash screen"
                                    KEYNAME "Software\Adobe\adobe acrobat\10.0\Originals"
                                    EXPLAIN !!ExplainNosplash
                                    VALUENAME "bDisplayedSplash"
                                    VALUEON NUMERIC 0
                                    VALUEOFF NUMERIC 1
                                END POLICY

                        END CATEGORY
                    END CATEGORY
            END CATEGORY
        END CATEGORY
    END CATEGORY

[strings]
Adobe10Header=Adobe 10
ExplainNosplash="When disabled, the program will not display a splashscreen on startup.\n\nWhen enabled, the splashscreen will be displayed."

El resultado es:

 

En vez de:

VALUENAME "bDisplayedSplash"

VALUEON NUMERIC 0

VALUEOFF NUMERIC 1

 

Podemos tener claves del tipo:

VALUENAME “path”

VALUE “c:\temp\imagen.bmp”

 

También podríamos poner un texto con el comando “PART” que iría en la tabla de texto, esto sería así:

PART “texto”

VALUENAME "bDisplayedSplash"

VALUEON NUMERIC 0

VALUEOFF NUMERIC 1

También podemos necesitar un DROPDOWNLIST tras el texto para lo que tendríamos que poner:

PART “Default Dictionary” DROPDOWNLIST

ITEMLIST
    NAME "English (United Kingdom)" VALUE "English (United Kingdom)"
    ACTIONLIST
        KEYNAME "Software\Adobe\Acrobat Reader\10.0\Spelling"
        VALUENAME "iDictionaryDefaultID" VALUE NUMERIC 7
    END ACTIONLIST
    NAME "English (United States)" VALUE "English (United States)"
    ACTIONLIST
        KEYNAME "Software\Adobe\Acrobat Reader\10.0\Spelling"
        VALUENAME "iDictionaryDefaultID" VALUE NUMERIC 2
    END ACTIONLIST
END ITEMLIST

 

O por ejemplo un simple CHECKBOX que sería:

PART “Texto” CHECKBOX

VALUENAME “Valuename”

VALUEON NUMERIC 0

VALUEOFF NUMERIC 1

 

Bueno y si buscáis más por internet vais a encontrar mucho. Yo os invito a que analicéis archivos .adm muy útiles como son:

Adobe

http://www.adobe.com/devnet-docs/acrobatetk/tools/AdminGuide/gpo.html#x-gpo-deployments.

Google Chrome

https://support.google.com/chrome/a/answer/187202?hl=es

 

Saludos.