组策略相关故障排错经验谈.docx
- 文档编号:2929555
- 上传时间:2022-11-16
- 格式:DOCX
- 页数:9
- 大小:277.09KB
组策略相关故障排错经验谈.docx
《组策略相关故障排错经验谈.docx》由会员分享,可在线阅读,更多相关《组策略相关故障排错经验谈.docx(9页珍藏版)》请在冰豆网上搜索。
组策略相关故障排错经验谈
对于网络管理员来讲,关于组策略的问题可能听到最多的抱怨就是:
“我设置了一个策略,为什么它不生效?
”。
对于一些比较大的网络环境,组策略可以减轻网管人员的管理工作,但其出问题的几率还是比较大的。
这一方面是由于我们在日常操作时不慎引起的,另一方面是由于策略相互影响而造成最终的结果与设想不一致。
组策略应用要点
这里,笔者给出几点微软不推荐的做法:
1.不要删除两条默认的策略(默认域策略和默认域控制器策略),很多问题的发生都是由删除这两条默认策略而引起的。
而且要使用组策略管理控制台(GPMC)工具备份这两条默认策略,用于将来还原。
如果直接通过GPMC删除默认策略时,我们会发现是行不通的,但是,稍有经验的读者知道如何删除它们。
既然是一个不推荐的做法,希望大家不要删除它们。
2.组策略是不能够链接在用户组上的。
有很多初次接触活动目录的管理员,经常设想将组策略生效于某一用户组,这是行不通的。
组策略不是为用户组设定的策略,而是一组策略的集合,只能链接在站点、组织单元和域上面。
3.组策略的生效问题
(1)生效顺序
正常生效顺序:
本地策略→站点策略→域策略→父OU策略→子OU策略。
我们使用时,在出现登录对话框前,会有“应用安全策略”的提示,这也就是本地策略生效的过程。
发生冲突时,最新的策略设置会覆盖其他设置。
计算机设置高于用户设置(即使用户设置是后设置的)。
父容器组策略设置与子容器设置发生冲突,子容器中组策略的设置将最终生效。
同一容器的多个策略按照优先权顺序进行生效。
所以,当在一个容器上面链了多个GPO时,不妨仔细看看它们的顺序,很有可能问题是顺序不当引起的。
(2)生效时间
默认情况下,非域控制器的计算机每90分钟刷新一次策略,其中含有随机的30分钟时间偏移量,时间偏移量保证了多个计算机不会同时连接到同一个域控制器上面。
域控制器每5分钟刷新一次,保证了紧急更新的组策略设置(安全性设置)能够得到及时执行,可以在“域控制器组策略重新刷新时间间隔”里面更改(如图1)。
图1“域控制器组策略重新刷新时间间隔”进行更改
在Windows2000里面可以使用secedit/refreshpolicymachine_policy或secedit/refreshpolicyuser_policy命令强制刷新,在WindowsXP或Windows2003使用gpresult/force强制刷新。
如果新做的设置没有能够生效,不妨考虑一下是否为刷新时间间隔问题。
组策略常规排错法
如果您平时是按照以上建议做的,结果组策略的某些设置还是没有按照预期生效,我们就需要做排错处理了。
1.首先,确保客户端拿到了相关的策略。
比如,希望域内所有的计算机不要显示上次登录的用户名以确保安全,可是在所有的用户端都没有生效,说明这条策略很有可能客户端就没有拿到。
从Gpresult或者是组策略结果集,可以知道客户端拿到了哪些策略。
前者是命令行模式,后者是图形界面,功能都是相同的。
下面介绍组策略结果集的使用。
(1)打开gpmc.msc,单击组策略结果收集向导,选择是本机还是远程计算机,选择为哪一个 用户显示最终结果,我们就可以查看结果了(如图2)。
图2查看结果
在“组策略对象→应用的策略”中,我们能够看到出问题的客户端应用了哪些GPO,没有应用哪些GPO,如果某一条组策略没有被应用,那么设置必定没有生效,因为计算机根本就没有拿到这个策略。
正如案例中所述的那个问题(希望域内所有的计算机不要显示上次登录的用户名以确保安全,可惜在所有的用户端都没有生效),后来在随机的客户端运行gpresult,结果发现,为计算机设置的不显示上次登录的用户名策略(当时命名为DonotDisplaylastlogonname)根本就没有应用到客户端,自然策略不会生效。
2.如果网络里面有多台域控制器,要确保多台域控制器的策略保持一致,检查方法是运行gpotool(需要安装WindowsResourceKit工具包)。
ValidatingDCs...AvailableDCs:
mic-technet.dc.micSearchingforpolicies...Found4policiesPolicy{31B2F340-016D-11D2-945F-00C04FB984F9}Friendlyname:
DefaultDomainPolicyPolicyOK==========================================================Policy{6AC1786C-016F-11D2-945F-00C04FB984F9}Friendlyname:
DefaultDomainControllersPolicyPolicyOK==========================================================Policy{90BD780C-D2E8-44CB-97B8-80B343852457}Friendlyname:
DonotdisplaylogonnamePolicyOK==========================================================Policy{CC2C8E4F-FA55-4824-AC75-0122494DCC31}Friendlyname:
userPolicyOK==========================================================PoliciesOK
这是一次运行gpotool的结果,当然,笔者这里只是一个虚拟环境,只有一台域控制器,读者可以拿出问题的日志与正常日志进行比对,便会发现问题所在。
设想,如果有两台域控制器它们之间的复制又出了问题,那么意味着每个域控制器的组策略不统一了,自然客户端在应用时会发生问题。
3.检查组策略对象是否在AD中和Sysvol中,而且GUID是否与正确的GPO相关联。
(1)查看组策略的GUID。
(2)用Search.vbs检查LDAP协议正确性,GPO和GUID是否为真正意义的对应。
Search.vbs是Windows2003安装光盘Support\Tools\Support.cab下的一个脚本工具,可以将GPO名称解析为GUID。
组策略常规排错法
如果您平时是按照以上建议做的,结果组策略的某些设置还是没有按照预期生效,我们就需要做排错处理了。
1.首先,确保客户端拿到了相关的策略。
比如,希望域内所有的计算机不要显示上次登录的用户名以确保安全,可是在所有的用户端都没有生效,说明这条策略很有可能客户端就没有拿到。
从Gpresult或者是组策略结果集,可以知道客户端拿到了哪些策略。
前者是命令行模式,后者是图形界面,功能都是相同的。
下面介绍组策略结果集的使用。
(1)打开gpmc.msc,单击组策略结果收集向导,选择是本机还是远程计算机,选择为哪一个 用户显示最终结果,我们就可以查看结果了(如图2)。
图2查看结果
在“组策略对象→应用的策略”中,我们能够看到出问题的客户端应用了哪些GPO,没有应用哪些GPO,如果某一条组策略没有被应用,那么设置必定没有生效,因为计算机根本就没有拿到这个策略。
正如案例中所述的那个问题(希望域内所有的计算机不要显示上次登录的用户名以确保安全,可惜在所有的用户端都没有生效),后来在随机的客户端运行gpresult,结果发现,为计算机设置的不显示上次登录的用户名策略(当时命名为DonotDisplaylastlogonname)根本就没有应用到客户端,自然策略不会生效。
2.如果网络里面有多台域控制器,要确保多台域控制器的策略保持一致,检查方法是运行gpotool(需要安装WindowsResourceKit工具包)。
ValidatingDCs...AvailableDCs:
mic-technet.dc.micSearchingforpolicies...Found4policiesPolicy{31B2F340-016D-11D2-945F-00C04FB984F9}Friendlyname:
DefaultDomainPolicyPolicyOK==========================================================Policy{6AC1786C-016F-11D2-945F-00C04FB984F9}Friendlyname:
DefaultDomainControllersPolicyPolicyOK==========================================================Policy{90BD780C-D2E8-44CB-97B8-80B343852457}Friendlyname:
DonotdisplaylogonnamePolicyOK==========================================================Policy{CC2C8E4F-FA55-4824-AC75-0122494DCC31}Friendlyname:
userPolicyOK==========================================================PoliciesOK
这是一次运行gpotool的结果,当然,笔者这里只是一个虚拟环境,只有一台域控制器,读者可以拿出问题的日志与正常日志进行比对,便会发现问题所在。
设想,如果有两台域控制器它们之间的复制又出了问题,那么意味着每个域控制器的组策略不统一了,自然客户端在应用时会发生问题。
3.检查组策略对象是否在AD中和Sysvol中,而且GUID是否与正确的GPO相关联。
(1)查看组策略的GUID。
(2)用Search.vbs检查LDAP协议正确性,GPO和GUID是否为真正意义的对应。
Search.vbs是Windows2003安装光盘Support\Tools\Support.cab下的一个脚本工具,可以将GPO名称解析为GUID。
使用方法:
cscriptsearch.vbs"LDAP:
//dc=mydomain,dc=com"
/C:
"&(objectClass=groupPolicyContainer)(displayName=DefaultDomain
Policy)"/P:
name/S:
SubTree
将mydomain和com换成您自己的域名。
3.以上两步结束后,如果仍然没有查到问题所在,可以激活userenv.log:
打开注册表编辑器,定位至HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon。
新建dword值:
UserEnvDebugLevel,数据为10002(Windows2000/XP),Windows2003改为30002。
重新启动后在%Sy
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 策略 相关 故障 经验谈
![提示](https://static.bdocx.com/images/bang_tan.gif)