Política de Grupo - as configurações de proxy do IE estão sendo ignoradas

Question

Estou tentando descobrir como impedir que alguns dos nossos usuários ignorem um servidor proxy que está sendo implantado com a política de grupo.

Primeiro, eu uso um arquivo pac para configurar as configurações de proxy para os PCs. As configurações estão sendo implantadas com política de grupo, essa parte funciona bem.

Meu problema é que alguns usuários estão usando este comando para redefinir as configurações para o padrão:

RunDll32.exe InetCpl.cpl, ResetIEtoDefaults

As configurações são redefinidas para os padrões (sem proxy) até a próxima vez que a política de grupo for aplicada. Eu tentei várias coisas para consertar isso, mas nada que eu tentei até agora parou este trabalho.

Atualmente, a política não permite que o usuário redefina as configurações (da configuração do computador e do usuário). Tentei definir as configurações de proxy por máquina, e não por usuário (com as entradas de registro apropriadas para o proxy) E algumas outras coisas. Eu também removi os arquivos InetCpl.cpl, mas isso quebra outras coisas.

Eu não posso forçar as pessoas a usar o proxy do nosso gateway, eu preciso que os clientes usem o arquivo pac que está sendo definido (há determinados destinos que o proxy não é usado com base no IP que eles resolvem) como algumas regras no arquivo.

    

Answer 1

Você tem alguns usuários inteligentes. Ou pelo menos um usuário inteligente e o resto são bons em seguir instruções. Você tentou impedir que o RunDll32.exe seja executado no espaço do usuário por meio da política de grupo?

Eu tive problemas semelhantes no meu último trabalho onde eu servia escolas. Minha solução foi definir uma lista branca para tráfego sem proxy (apenas alguns sites precisavam dela). Se você não passou pelo proxy, você foi bloqueado de quase tudo. IIRC, nenhum usuário regular teve nenhum problema porque eu tinha o arquivo pac oferecido através do DHCP e do DNS.

    

Answer 2

Eu acho que você está lutando uma batalha perdida aqui. Se os usuários tiverem acesso de administrador aos seus laptops, pouco poderá fazer para impedi-los de fazer o monkeying com as configurações de proxy.

Além disso, a questão de por que seus usuários estão desativando o proxy é importante. É porque algum site o acesso não está funcionando com o proxy? Na minha experiência Engajar e resolver o problema juntos Será uma situação melhor do que lutar contra eles. Mas se lutar contra eles é a única opção, então você precisa lutar na camada de rede.

Se a única função do proxy é poupar um pouco de largura de banda, talvez você consiga bloquear o tráfego que não passa pelo proxy, mas se o proxy é considerado um controle de segurança que depende da política de grupo para forçar o tráfego. Não é uma opção viável. Malware, usuários de telefones macs, chrome etc vão ignorar suas regras e todo o tempo e dinheiro investido no proxy é desperdiçado

Você disse que os tucanos os forçaram a usar o proxy como Há para IPs que você não quer proxies. Para resolver isso, faça com que o seu firewall permita o tráfego de saída da Web para esses IPs e bloqueie todos os outros tráfegos da Web que não sejam do proxy.

Pessoalmente, eu sempre preferi proxies transparentes em vez de configurar o proxy em todos os clientes.