سلام
دوستان local group policy دز ویندوز 7 به چه دردی میخوره؟
Printable View
سلام
دوستان local group policy دز ویندوز 7 به چه دردی میخوره؟
تقریباً تمامی تنظیمات امنیتی ویندوز تو این قسمت انجام میشه
البته تمام این کارها رو توی رجیستری هم میشه انجام داد ولی تو رجیستری شما فقط با یه سری عدد و کلمات بی معنی مواجهی که سر درآوردن ازش واقعاً سخته
ولی تو Group policy همه این تنظیمات با جملات واضح مثل Minimum Password length برای حداقل طول پسوردها بیان میشه
برای رفتن به این محیط میتونی از دستور gpedit.msc استفاده کنی
تو7 میشه کاری کرد ک پالیسی ها رو از طریق کلاینت خودمون رو کلاینت های دیگه هم اعمال کنیم؟ یا باید تک تک کلاینت ها رو ست کنیم؟ تو ی شبکه ورکگروپ چطور میشه این کاروکرد؟
چگونه می توانم دسترسی کاربران به اینترنت را محدود کنم؟
در این مقاله توضیح می دهیم که چگونه دسترسی به اینترنت را برای کاربران و نرم افزارهای ضروری محدود و یا کنترل کنیم. همچنین پیامدهای مخرب دسترسی نامحدود به اینترنت در کسب و کارها و اینکه چرا کارکرد کارمندان از اینترنت باید کنترل شود را بررسی می کنیم. سپس به کمک نرم افزار Elim به تنطیم کردن دسترسی به اینترنت می پردازیم. و در انتها چند نرم افزار مفید دیگر و استفاده از Group Policy را برای این منظور معرفی می کنیم.چرا باید دسترسی به اینترنت را در شرکت هایمان محدود کنیم؟ با منظم کردن(نه ممنوع کردن) دسترسی به اینترنت، می توان بازده شرکت را در چندین جنبه بالا برد:
- افزایش سودآوری
- استفاده از اینترنت به طور خاص برای اهداف حرفه ای
- کاهش خطر حملات ویروسی
- سرعت اینترنت بالاتر(پهنای باند)
چگونه کارمندان را کنترل و یا دسترسی آن ها را به اینترنت محدود کنم؟
بعضی از نرم افزارها به شما این اجازه را میدهند که فعالیت های خاصی را برای هر کاربر اینترنت تعیین کنید، اما این کار خیلی موثر نیست. تنظیم قانونی برای دسترسی به اینترنت بسیار مناسب تر است. اگر شما سیستمی متشکل از قوانین فردی را تولید کنید، مجبور هستید که برای کارمندانتان دستور العمل هایی را نیز تعیین نمایید (مانند تهیه گزارش از صفحاتی که هر کاربر مشاهده کرده است).
محدود سازی دسترسی به اینترنت: فرهنگ سازی
- مذاکره و ارتباط با کارمندان یکی از موثرترین راه ها برای منظم سازی دسترسی به اینترنت است. هدف ما این است که هر کاربر را به طور خودجوش مسئول وبگردی خود کنیم.
- مختصر سازی. همایش ها، کمیسیون های مشاوره، سمینارهای مشارکتی و کارگاه ی رفتاری به شما این امکان را می دهند که با نمایندگان کارمندانتان و یا شخص کارمندان مذاکره داشته باشید. سپس شما می توانید به توافق هایی راجع به چگونگی استفاده از اینترنت در تجارتتان برسید.
- یک منشور اخلاقی تهیه کنید و این بند ها را به آن اضافه نمایید: حداکثر زمان استفاده، محتواهای ممنوعه، قوانین پست الکترونیکی و ...). سپسآن را در وب سایت شرکت قرار دهید و یا آن را به کارمندان ایمیل کنید.
روش های تنظیم دسترسی به اینترنت
- تنظیم دسترسی به اینترنت می تواند به دو نوع طبقه بندی شود: 1) محدود کردن ساعات استفاده از اینترنت و 2) فیلتر کردن محتوای قابل دسترسی. برای تاثیر بیشتر شما می توانید این دو روش را با هم ترکیب کنید.
- روش دوستانه: برای کارمندانتان زمانی را برای استفاده ی غیر کاری از اینترنت تعیین کنید(برای مثال 30 دقیقه).
- راه حل های نرم افزاری: با نرم افزارهای ساده مانند Chronager و WebAllow و Pgsurfer می توانید استفاده از اینترنت را بر روی هر کامپیوتر و به صورت جداگانه محدود کنید.
فیلتر کردن محتوا
ره اندازی فیلترینگ کمی پیچیده تر است. سما می توانید فیلترینگ محتوا را در سه سطح انجام دهید:
- URL: آدرس های اینترنتی خاص را مسدود نمایید. برای مثال سای های پخش ویدیوی آنلاین
- کلمات کلیدی تایپ شده: لیستس از کلمات کلیدی ممنوعه تهیه فرمایید. کاربر نمی تواند به نتایج موتورهای جستجو دسترسی داشته باشد.
- نوع فایل: دانلود فایل های خاص را فیلتر کنبد(مانند ویدیو و موسیقی). در نتیجه شما امکان حملات ویروسی و نرم افزارهای مخرب را در شبکه تان کاهش می دهید. همچنین ازاستفاده ی بی مورد از پهنای باند جلوگیری می کنید.
محدود سازی دسترسی به اینترنت: با استفاده از Group Policy
کلیه ی اعمال توضیح داده شده در بندهای قبل را می توان با استفاده از تنظیمات Group Policy نیز اعمال کرد.
انحصاری کردن دسترسی به اینترنت
برای راه اندازی Group Policy برای انحصاری کردن دسترسی به اینترنت مراحل زیر را انجام دهید.
1. Group Policy را با تایپ کردن gpedit در command line و یا از Administrative Tools در Control P
2. یک شی جدید از Group Policy طبق مراحل زیر بسازید:
- درخت را باز کنید و به Group Policy Object بروید.
- روی Group Policy Object کلیک راست کنید و New را انتخاب کنید.
- یک نام برای Policy وارد کنید.
- روی Policy کلیک راست کنید و گزینه Edit را انتخاب کنید.
3. به آدرس زیر بروید.
User configuration>Windows Settings>Internet Explorer Maintenance>Connection 4. روی Proxy Settings کلیک راست کنید و سپس بر روی Properties کلیک کنید.
5. گزینه ی Enable Proxy Settings را فعال کنید و یک آدرس IP جعلی (مانند 192.168.5.100 بر روی HTTP) وارد کنید (در این شرایط شما Proxy Server ندارید و یا Proxy Server شما یک IP متفاوت دارد).
6. زیر exception آدرس IP وب سرور را تایپ کنید، برای مثال 192.168.2.10.
7. آن را امتحان کنید.
8. پنجره ی Group Policy را ببندید.
9. روی Domain Name کلیک راست کنید و Link an Existing GPO را انتخاب کنید.
10. Group Policy Object ای را که در مراحل قبل نام آن را وارد کرده اید را انتخاب کنید و OK را بزنید.
جلوگیری از دسترسی به تنظیمات و ایجاد تغییر در تنظیمات ------
- به آدرس زیر بروید:
Computer Configuration>Administrative Templates>Windows Components>Internet Explorer>Internet Control Panel- روی Disable the Connection Page کلیک کنید و سپس Enabled را انتخاب کنید. روی Apply کلیک کنید و سپس OK را انتخاب کنید.
معرفی چند پالیسی مهم در مورد آفلاین فایل ها :
یک سری سیاست ها و پالیسی در مورد ویژگی آفلاین فایل ها وجود دارد که شما می توانید آنها را از طریق کنسول Group Policy Management در دامین کنترولر به کلیه کامپیوتر ها و کاربران دامین اعمال کنید . این سیاست ها هم به کامپیوترها و هم به کاربران قابل اعمال می باشد . می توانید Offline Files policy ها را از مسیر زیر به کامپیوترهای عضو دامین اعمال کنید :
1 Computer Configuration\Administrative Templates\Network\Offline Files
مهمترین پالیسی های موجود در این بخش به قرار زیر می باشند :
- Files not cached : از طریق این پالیسی می توانید فایل هایی را که دارای پسوند مشخصی هستند را انتخاب کنید تا در کامپیوترهای عضو دامین کش نشوند . مثلا می توانید قابلیت استفاده از آفلاین فایل ها را به صورت اتوماتیک بر روی پوشه های اشتراکی فایل سرور فعال کنید ولی از طریق این پالیسی کاری کنید که فایل های ویدیویی ( .avi، .wmv ، .mp4 ) در سیستم کاربران کش نشوند.
- Synchronize all offline files before logging off : از طریق این پالیسی فرایند هماهنگ سازی آفلاین فایل ها با نسخه اصلی در فایل سرور قبل از logging off اتفاق می افتد .
- Synchronize all offline files before logging on :از طریق این پالیسی فرایند هماهنگ سازی آفلاین فایل ها با نسخه اصلی در فایل سرور قبل از logging on اتفاق می افتد .
همچنین می توانید Offline Files policy ها را از مسیر زیر به کاربران دامین اعمال کنید :
1 User Configuration\Administrative Templates\Network\Offline Files
مهمترین پایسی های موجود در این بخش هم به قرار زیر می باشد :
- Synchronize all offline files before logging off : از طریق این پالیسی فرایند هماهنگ سازی آفلاین فایل ها با نسخه اصلی در فایل سرور قبل از logging off اتفاق می افتد .
- Synchronize all offline files before logging on : از طریق این پالیسی فرایند هماهنگ سازی آفلاین فایل ها با نسخه اصلی در فایل سرور قبل از logging on اتفاق می افتد .
برای اینکه کاربران در یک شبکه تحت دامنه نتوانند از طریق my computer درایوc و محتویات آن را مشاهده کنند باید یک پالیسی روی سرور اکتیو دایرکتوری تعریف کرد . البته به غیر ار درایو c هر درایو دیگری را نیز می توان مخفی کرد.
این ترفند فقط مانع نمایش درایو مورد نظر در My Computer می شود، برنامه ها و command prompt همچنان به آن درایو دسترسی خواهند داشت و می توانید از طریق Command Prompt به صورت دستی هنوز هم داخل پوشه های آن درایو گشت و گذار کنید.
نکته: اگر بخواهیم روی یک کامپیوتر ی که عضو شبکه دامین نیست این کار را انجام دهیم میتوانیم از طریق رجیستری یا از طریق دستور gpedit.msc درایو مورد نظر را مخفی کنیم.
مسیر مخفی کردن پارتیشن ها در گروپ پالیسی
ابتدا از منوی استارت ، گزینه Administrative tools را انتخاب کرده و سپس روی Group Policy Management کلیک کرده تا کنسول مربوط به آن باز شود.سپس روی دامین یا واحد مورد نظری که می خواهید یکی از درایوها را نداشته باشد ،کلیک راست کرده و گزینه edit را می زنیم و سپس وارد مسیر زیر می شویم.
User Configuration_Policies_Administrative Templates_Windows Components_Windows Explorer
از قاب سمت راست آیتم Prevent access to drives frm My Computer را پیدا کرده و روی آن دوبار کلیک می کنیم.
بعد از اعمال این پالیسی دستور gpupdate را می زنیم تا درایو مورد نظر از my computer حذف شود.(پنهان شود.)
نکته: برای غیرفعال کردن این ترفند کافیست که از همین مراحل پیروی کرده ولی بجای Enabled گزینه Disabled را انتخاب کنید.
دوستان کسی جواب این و نمیدونه ؟
تو7 میشه کاری کرد ک پالیسی ها رو از طریق کلاینت خودمون رو کلاینت های دیگه هم اعمال کنیم؟ یا باید تک تک کلاینت ها رو ست کنیم؟ تو ی شبکه ورکگروپ چطور میشه این کاروکرد؟
اینم جوابش :
توی workgroup باید این پالسی ها رو روی تک تک client ها اعمال کنیم ولی توی domain کافیه این تنظیم رو روی کامپیوتر سرور اعمال کنیم و client ها رو توش join کنیم
پالیسی Policy در شبکه WorkGroup - آموزش MCSA و MCSE / شماره
10از سیاست ها برای انجام تنظمیات مختلف سخت*افزاری و نرم*افزاری استفاده می*شود که در ادامه به برخی از مهم*ترین آنها اشاره خواهیم کرد. اما در ابتدا کلیاتی در این مورد ذکر می*شود.
در شبکه های Workgroup با Local Policy سر و کار داریم یعنی سیاست هایی که روی هر کامپیوتر تعریف و فقط به خود آن اعمال می شوند.
در دومین با اشیای سیاست های گروهی یا Group Policy Objects یا GPO سرو کار داریم که روی سرور اصلی یا DC تعریف و به یوزرها یا کامپیوترها نسبت داده می*شوند.
برای اجرای Group Policy در شبکه WorkGroup و روی یک کامپیوتر دستور زیر را در Run اجرا می*کنیم:
Gpedit.msc
همچنین می*توانید از کنسول مدیریتی مایکروسافت استفاده کنید. در Run دستور mmc را تایپ کنید. سپس از پجره باز شده به بخش Add/Remove Snap-in بروید و Group Policy Object Editor را Add کنید. به یاد داشته باشید برای اعمال تغییرات در این محیط بسیار کم نیاز به ریست کردن کامپیوتر دارید و معمولا تغییرات در همان لحظه ایجاد اعمال می*شوند (در واقع در رجیستری اعمال و ذخیره می*شوند). البته در دومین معمولا زمان کوتاهی برای اعمال سیاست*ها به کلاینت*ها نیاز است که البته می*توان با اجرای برخی دستورات آن را سرعت بخشید. تغییرات انجام شده در این قسمت در واقع اغییراتی در رجیستری انجام می*دهند پس به خاطر داشته باشید در حالت کلی بکاپ از رجیستری برابر است با بکاپ از Group Policy
شاید بهتر باشید بدون هیچ توضیحی اول کمی خودتان این محیط را بگردید تا اصول کلی کار با آن و بخش*های مختلف*اش تا حدودی برایتان آشنا گردند.
همانطور که می*بینید دو بخش کلی داریم یعنی Computer Configuration و User Configuration که در آنها سه بخش Software Setings، Windows Settings و Administrative Templates تکراری هستند. مشخص است که تنظیمات بخش اول با کامپیوتر (یا کامپیوترها) و بخش دوم هم با یوزرها سر و کار دارند. نمی*توان به طور جزیی و دقیق بخش*های مختلف را توضیح داد اما می*توان به صورت کلی اینچنین گفت :
Administrative Templates:
برای انجام تغییرات عموما در پوسته ویندوز، مثلا برداشتن برگه Settings مونیتور یا جلوگیری از ساخت کانکشن
Windows Settings:
مسایل مربوط به یوزرها، گروه*ها، ورود و خروج ویندوز (Login/Log off) و مسایل امنیتی مثل پیچیده کردن رمز
Software Settings:
نصب اتوماتیک برنامه*ها روی کلاینت*ها (این بخش فقط در محیط دومین کاربرد دارد)
کتاب خاصی در این مورد وجود ندارد که همه بخش*ها را توضیح داده باشد. می*توانید خودتان با گشتن بخش*های مختلف و کمی آشنایی با زبان انگلیسی نکات جالبی از این ابزار مفید را کشف کنید. در ادامه چندین مثال برای آشنایی شما ذکر می*گردند. ضمن اینکه قبلا هم چند مثال (در مورد رمز یوزرها و ... داشتیم و در آینده هم فراوان با این ابزار کار خواهیم کرد.
مثال 1 : برداشتن برگه Settings مربوط به مانیتور
Hide Settings Tab
User Configuration -> Administrative Templates -> Control Panel -> Display
مثال 2 : جلوگیری از اجرای Control Panel :
در همان آدرس بالا و گزینه
Prohibit Access to Control Panel
مثال 3 : می*خواهیم فقط کیبرد و ماوس در Control Panel باشند (مجوعه*ای دلخواه)
در همان آدرس و گزینه
Show Only Specified Control Panel Applets
مثال 4 : جلوگیری از زدن Ctrl+Alt+Del و استفاده از Change Password
User Configuration -> Administrative Templates -> Ctrl+Alt+Del Options
Remove Change Password
مثال 5 : می*خواهیم بلافاصله بعد از Login برنامه خاصی مثل ماشین حساب اجرا شود
User Configuration ->Windows Settings -> Scripts (Logon/Logoff)حال در اینجا دستور اجرای برنامه ماشین حساب یعنی Calc.exe را Add می*کنیم.
در جلسه بعد به توضیح قسمت*های مهم دیگر در Group Policy مانند سیاست*های امنیتی می*پردازیم.
در ادامه به سراغ بخش تنظیمات امنیتی به آدرس زیر می*رویم :
Computer Configurations -> Windows Settings -> Security Settings -> local policies
سه بخش اصلی داریم :
Audit Policyنظارت بر عملکرد یوزرها
User Rights Managementعوض کردن قدرت پیش*فرض یوزرها و گروه*ها
Security Optionsمسایل مختلف امنیتی و موارد دیگری چون بحث Logoff و Login و ...
می*توانید با خواندن موارد مختلف کاملا متوجه شوید که هر آیتم چه کاری انجام می*دهد. اما در ادامه برخی از موارد مهم و تقریبا پرکاربرد آورده شده است :
مثال : می*خواهیم کاربران بتوانند به صورت locally (از پای خود سیستم) به سرور DC وارد شوند. به یاد داشته باشید که کاربران معمولی به طور پیش*فرض چنین اجازه*ای ندارند.
راه حل : روی DC وارد Group Policy شده و در بخش User Rights Assessments گروه کاربران یا همان Users را Add می*کنیم.
مثال : به طور پیش*فرض رمزها بعد از 42 روز Expire می*شوند اما 14 روز قبل از آن موقع Login کردن به کاربران هشدار می*دهد. می*خواهیم زمان این هشدار هفت روز قبل باشد
راه حل : به بخش Security Options می*رویم و تغییرات دلخواه را در گزینه زیر می*دهیم.
Interactive Logon : Prompt Users to Change Password Before Expiration
مثال : در ویندوز نسخه سرور، در پنجره Login دکمه Shutdown خاموش است. می*خواهیم آن را فعال سازیم.
راه حل : در بخش Security Options گزینه زیر را فعال می*کنیم
Shutdown : Allow System to Be Shutdown Without Having to Logon
سوال : اعضای گروه Users در ویندوزهای سرور به طور پیش*فرض فقط می*توانند از سیستم Logoff کنند و نمی*توانند سیستم را ریست یا خاموش کنند. برای حل این قضیه چه باید کرد
راه حل : در قسمت زیر که در Users Rights Assignments قرار دارد گروه Users را اضافه می*کنیم
Shut Down the System
غیر فعال کردن کنترل پنل در ویندوز 7
یکی از مهمترین قسمت هایی که در سیستم عامل می باشد کنترل پنل control panel است که در آن آیکون های مربوط به تنظیمات قسمت های مختلف وجود دارد.با استفاده از کنترل پنل control panel می توان تمام قسمت های ویندوز را کنترل کرد. در ویندوز 7 با استفاده کردن از group policy می توان از دسترسی افراد به این قسمت جلوگیری کرد تا نتوانند تغییراتی را در قسمت های مختلف ویندوز به وجود آورند.
1. ابتدا بر روی منوی استارت ویندوز کلیک کرده و در کادر جستجو عبارت gpedit.msc را تایپ می کنیم و سپس enter را می زنیم.
با انتخاب کردن گزینه ی gpedit.msc صفحه ی local group policy editor باز می شود.سپس در قسمت user configuration گزینه ی administrative template را انتخاب می کنیم.
در قسمت راست صفحه گزینه ی controlpanel را انتخاب می کنیم.
سپس در صفحه ای که باز می شود گزینه ی گزینه Prohibit access to the Control Panel را انتخاب می کنیمو در صفحه ی جدید گزینه ی enable را فعال می کنیم
.
حالا یک بار سیستم را Restart می کنیم.
برای اینکه گزینه ی کنترل پنل controlpanel برگردانده شود باید مراحل بالا را تکرار کرده اما این بار در صفحه ی Prohibit access to the Control Panel گزینه ی disabled را انتخاب می کنیم.