Проверка того, что LLMNR отключен - GPO

Содержание

Вопрос или проблема
Ответ или решение
Проверка отключения LLMNR через GPO
Шаги по отключению LLMNR через GPO
Проверка применения GPO
Заключение

Вопрос или проблема

Я пытаюсь отключить LLMNR на всех наших конечных устройствах. Я нашел статью, описывающую процесс здесь.

В общем, процесс выглядит так –

Создайте GPO -> Конфигурация компьютера -> Административные шаблоны -> Сеть -> DNS-кLIENT
Включите политику Отключить разрешение имен через мультимедиа, изменив ее значение на Включено

Итак, я применил GPO, а затем выполнил gpupdate /force на своем компьютере, чтобы обновить его до последних GPO. Затем я выполнил gpresult /Scope Computer /v, и вывод показывает GPO как:

GPO: Отключить LLMNR Id папки: SOFTWARE\Policies\Microsoft\Windows NT\DNSClient\EnableMulticast Значение: 0, 0, 0, 0 Состояние: Включено

Которое, по моему мнению, похоже на то, что GPO применяется. Но не похоже, что оно действительно применяется. Поэтому значение 0.0.0.0.

Есть ли какой-либо метод, которым я могу протестировать, чтобы увидеть, работает ли это?

Поле Значение в выводе GPResult (0, 0, 0, 0 в вашем случае, что не то же самое, что 0.0.0.0) не указывает на то, что групповая политика не применяется. Скорее, это поле, которое отображает любую дополнительную информацию, относящуюся к настройкам GPO.

Например, у меня есть GPO, который показывает это в части Значение GPResult:

Значение:   104, 0, 116, 0, 116, 0, 112, 0, 115, 0, 58, 0, 47, 0, 47, 0, ...

Это ASCII значения (104=’h’, 116=’t’, 116=’t’, 112=’p’, 115=’s’, 58=’:’, и так далее), которые показывают, что значение настройки, относящейся к этому GPO, равно https://....

Поскольку настройка EnableMulticast имеет только Включено или Отключено, в поле Значение нет дополнительной информации. Строка, которая сообщает вам Состояние: Включено, это то, что вам нужно знать.

Если вы хотите проверить клиент и подтвердить, что GPO оказал желаемый эффект, вы можете взглянуть на реестр. Найдите EnableMulticast в HKLM\Software\Policies\Microsoft\Windows NT\DNSClient. Если оно 0, то разрешение имен по мультимедиа не включено.

Просто чтобы добавить к этому, каждая статья, которую я читал, предполагает, что 1 отключает и 0 включает это значение EnableMulticast, несмотря на то, что имя значения предполагает обратное.

Я действительно посмотрел несколько статей, чтобы это подтвердить, потому что с названием как EnableMulticast вы ожидаете, что будет наоборот.

Ответ или решение

Проверка отключения LLMNR через GPO

Отключение LLMNR (Link-Local Multicast Name Resolution) на всех конечных точках сети — важный шаг к укреплению безопасности вашей инфраструктуры. LLMNR может быть использован злоумышленниками для различных атак, таких как злоупотребление сетевыми ресурсами и получение конфиденциальных данных. В этой статье мы детально рассмотрим процесс отключения LLMNR через Политику групп (GPO) и способы проверки правильности применения настроек.

Шаги по отключению LLMNR через GPO

Создание GPO:
- Откройте Управление групповыми политиками (Group Policy Management).
- Создайте новую Политику групп (GPO) и назовите её, например, "Отключение LLMNR".
Настройка GPO:
- Перейдите в раздел: Конфигурация компьютера → Административные шаблоны → Сетевые параметры → DNS-клиент.
- Найдите параметр Отключить мультикаст-имя разрешения (Turn Off Multicast Name Resolution).
- Установите значение в Включено (Enabled).
Применение GPO:
- Примените GPO к необходимым OU (Organizational Units) или компьютерам в вашей сети.
- На конечных точках выполните команду gpupdate /force, чтобы обновить групповые политики.

Проверка применения GPO

После выполнения указанных действий важно убедиться, что GPO действительно применяется. Для проверки можно использовать следующие методы:

Команда gpresult:
Выполните команду gpresult /Scope Computer /v на целевом компьютере. В выводе вы должны увидеть что-то похожее на следующее:
```
GPO: Отключение LLMNR
Folder Id: SOFTWARE\Policies\Microsoft\Windows NT\DNSClient\EnableMulticast
Value:       0, 0, 0, 0
State:       Включено (Enabled)
```
Здесь состояние Enabled подтверждает, что GPO применено правильно. Значение 0, 0, 0, 0 указывает на отключение мультикаст-резолюции.
Проверка реестра:
Чтобы убедиться, что изменения были применены корректно, проверьте значение в реестре:
- Откройте редактор реестра (regedit).
- Перейдите к ключу: HKLM\Software\Policies\Microsoft\Windows NT\DNSClient.
- Найдите параметр EnableMulticast.Если его значение равно 0, то LLMNR отключен, что соответствует желаемому результату.

Заключение

Хотя на первый взгляд может показаться, что значения 0 и 1 в настройках политики не соответствуют логике их названий, на практике значение 0 для параметра EnableMulticast обозначает отключение LLMNR, а значение 1 — его включение. Это может вызывать путаницу, но понимание этого аспекта поможет вам избежать ошибок при конфигурации.

Таким образом, с помощью описанных шагов вы сможете эффективно отключить LLMNR на всех конечных точках и убедиться в правильности применения данной настройки. Регулярно проверяйте актуальность GPO и внедряйте соответствующие изменения для повышения безопасности ваших информационных систем.

Проверка того, что LLMNR отключен – GPO