Định cấu hình cài đặt proxy trên Windows bằng tùy chọn chính sách nhóm
Trong bài viết này, chúng ta sẽ xem cách định cấu hình tập trung cài đặt proxy trên máy tính Windows 10 trong một miền bằng Chính sách nhóm. Hầu hết các trình duyệt phổ biến (chẳng hạn như Microsoft Edge, Google Chrome, Internet Explorer, Opera) và hầu hết các ứng dụng đều tự động sử dụng cài đặt proxy được đặt trong Windows để truy cập Internet. Chúng ta cũng sẽ xem cách thiết lập cài đặt proxy WinHTTP trên Windows.
Trong bài viết này, chúng ta sẽ xem xét các chi tiết cụ thể về cách định cấu hình máy chủ proxy thông qua Chính sách nhóm trong các phiên bản Windows được hỗ trợ (Windows 10, 8.1 và Windows Server 2012/2016/2019). Lưu ý rằng cài đặt proxy được đặt khác trong Windows 7/Server 2008R2, Windows XP/Windows Server 2003 đã ngừng hỗ trợ.
Làm cách nào để Đặt cài đặt proxy trên Windows qua GPO?
Ban đầu, để định cấu hình tập trung cài đặt Internet Explorer (bao gồm cả cài đặt proxy) bằng Chính sách nhóm trong môi trường miền Active Directory, chính sách Bảo trì Internet Explorer (IEM) đã được sử dụng. Tùy chọn chính sách này nằm trong phần GPO người dùng: Cấu hình người dùng -> Chính sách -> Cài đặt Windows -> Bảo trì Internet Explorer. Nhưng kể từ Windows Server 2012/Windows 8, chính sách IEM không còn được dùng nữa. Phần này bị thiếu trong các phiên bản hiện đại của Windows 10/Windows Server 2016/2019.
Trên các phiên bản Windows mới nhất, bạn phải sử dụng Tùy chọn chính sách nhóm (GPP) để định cấu hình cài đặt IE và proxy trong GPO Editor. Ngoài ra còn có tùy chọn sử dụng tiện ích mở rộng đặc biệt của Bộ công cụ quản trị Internet Explorer 11 (IEAK 11) - nhưng nó hiếm khi được sử dụng.
Mở bảng điều khiển GPO Editor của miền (Bảng điều khiển quản lý chính sách nhóm -
GPMC.msc), chọn OU có người dùng mà bạn muốn áp dụng cài đặt proxy và tạo chính sách mới Tạo GPO trong miền này và Liên kết nó tại đây.
Chuyển đến Cấu hình người dùng -> Tùy chọn -> Cài đặt bảng điều khiển -> Cài đặt Internet. Trong menu ngữ cảnh, hãy chọn Mới -> Internet Explorer 10.
Để định cấu hình cài đặt proxy trên Windows 10/Windows Server 2016, bạn cần sử dụng mục Internet Explorer 10.
Mẹo. Mặc dù không có tùy chọn riêng cho Internet Explorer 11 nhưng chính sách Internet Explorer 10 nên áp dụng cho tất cả các phiên bản IE trên 10 (trong tệp chính sách InternetSettings.xml, bạn có thể thấy rằng tùy chọn này hợp lệ đối với tất cả các phiên bản IE từ 10.0.0.0 đến 99.0.0.0).
<FilterFile lte="0" max="99.0.0.0" min="10.0.0.0" gte="1" type="VERSION" path="%ProgramFilesDir%\Internet Explorer\iexplore.exe" bool="AND" not="0" hidden="1"/>
Một biểu mẫu IE Tùy chọn chính sách nhóm đặc biệt sẽ xuất hiện trước mặt bạn, gần như hoàn toàn giống với cài đặt Tùy chọn Internet trong Bảng điều khiển Windows. Ví dụ: bạn có thể chỉ định trang chủ (tab Chung -> trường Trang chủ).
Quan trọng. Chỉ lưu các thay đổi của bạn trong Trình chỉnh sửa chính sách nhóm là không đủ. Lưu ý phần gạch chân màu đỏ và xanh lục cho các cài đặt có thể định cấu hình của Internet Explorer 10. Gạch chân màu đỏ cho biết cài đặt sẽ không được áp dụng. Để lưu và áp dụng một cài đặt cụ thể, hãy nhấn F5. Gạch dưới màu xanh lục của một tham số có nghĩa là tham số IE này sẽ được áp dụng qua GPP.
Có các phím chức năng sau:
F5 - Bật tất cả cài đặt trên tab hiện tại
F6 - Bật cài đặt đã chọn
F7 - Tắt cài đặt đã chọn
F8 - Tắt tất cả cài đặt trong tab hiện tại
Để chỉ định cài đặt proxy, hãy chuyển đến tab Kết nối và nhấp vào nút Cài đặt Lan. Máy chủ proxy có thể được cấu hình theo một trong các cách sau:
Tự động phát hiện cài đặt - tự động phát hiện cài đặt bằng tệp wpad.dat;
Sử dụng tập lệnh cấu hình tự động - tập lệnh cấu hình tự động (proxy.pac);
Máy chủ proxy - địa chỉ IP hoặc tên DNS của máy chủ proxy được chỉ định trực tiếp trong cài đặt chính sách. Đây là cách dễ nhất, và chúng tôi sẽ sử dụng nó.
Chọn tùy chọn Sử dụng máy chủ proxy cho mạng LAN của bạn và chỉ định tên IP/FQDN của máy chủ proxy và cổng kết nối trong Địa chỉ và Cổng< tương ứng các trường.
Bằng cách bật tùy chọn Bỏ qua máy chủ proxy cho địa chỉ cục bộ, bạn có thể ngăn các ứng dụng (bao gồm cả trình duyệt) sử dụng máy chủ proxy khi truy cập tài nguyên cục bộ (ở định dạng
http://localnetwork). Nếu bạn sử dụng địa chỉ tài nguyên như
http://web1.a-d.lochoặc
http://192.168.1.5, thì những địa chỉ này không được Windows nhận dạng là địa chỉ cục bộ. Các địa chỉ này và địa chỉ của các tài nguyên khác, để truy cập mà bạn không cần sử dụng proxy, phải được chỉ định thủ công. Nhấn nút Nâng cao và thêm địa chỉ này vào trường Không sử dụng máy chủ proxy cho các địa chỉ bắt đầu bằng theo định dạng sau:
10.1.*;192.168.*;*.a-d.loc;*.local.net
Mẹo. Cài đặt proxy trong Google Chrome cũng có thể được đặt thông qua GPO bằng các mẫu quản trị đặc biệt. Ngoài ra, bạn có thể cài đặt các mẫu ADMX cho Mozilla Firefox.
Sau khi lưu chính sách, bạn có thể xem tệp InternetSettings.xml với cài đặt trình duyệt được chỉ định trong thư mục chính sách trên bộ điều khiển miền:
\UKDC1\SYSVOL\a-d.site\Policies\{PolicyGuiID}\User\Preferences\InternetSettings\InternetSettings.xml
GPP cho phép bạn nhắm mục tiêu chính sách tốt hơn tới người dùng/máy tính. Đối với điều này, Nhắm mục tiêu cấp mặt hàng GPP được sử dụng. Chuyển đến tab Chung, bật tùy chọn Nhắm mục tiêu cấp mục -> Nhắm mục tiêu.
Trong biểu mẫu mở ra, hãy chỉ định các điều kiện để áp dụng chính sách. Ví dụ: tôi đã chỉ ra rằng chính sách cấu hình proxy sẽ chỉ được áp dụng cho những người dùng là thành viên của nhóm bảo mật miền proxy_users. Bạn có thể sử dụng logic của riêng mình để gán tham số proxy.
Việc còn lại là liên kết chính sách proxy với vùng chứa AD với người dùng và cập nhật cài đặt chính sách cho họ. Sau khi áp dụng các chính sách trên máy tính của người dùng, các cài đặt IE mới sẽ được sử dụng. Bạn có thể kiểm tra cài đặt proxy hiện tại trên Windows 10 trong Cài đặt -> Mạng và Internet -> Proxy. Như bạn có thể thấy, máy tính hiện sử dụng cài đặt proxy được chỉ định trong chính sách miền.
Để ngăn người dùng thay đổi cài đặt máy chủ proxy, bạn có thể sử dụng bài viết này.
Định cấu hình cài đặt proxy qua Registry và GPO
Ngoài ra, bạn có thể định cấu hình cài đặt IE thông qua sổ đăng ký bằng chính sách GPP. Ví dụ: để bật máy chủ proxy, bạn cần định cấu hình tham số đăng ký sau trong khóa đăng ký HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Internet Settings. Trong trình chỉnh sửa GPO, hãy chuyển đến phần Cấu hình người dùng -> Tùy chọn -> Cài đặt Windows -> Sổ đăng ký và tạo ba tham số đăng ký theo khóa reg đã chỉ định:
ProxyEnable(REG_DWORD) =
00000001ProxyServer(REG_SZ) =
192.168.0.11:3128ProxyOverride(REG_SZ) =
https://*.a-d.site;192.168.*;10.1.*;*.contoso.com;<local>
Bạn cũng có thể sử dụng Nhắm mục tiêu cấp mục tại đây để nhắm mục tiêu cài đặt chính sách của mình cho người dùng/thiết bị cụ thể.
Nếu bạn cần tạo chính sách proxy không phải cho mỗi người dùng mà cho toàn bộ máy tính (mỗi máy tính), hãy sử dụng cài đặt GPP từ phần GPO Cấu hình máy tính -> Tùy chọn -> Cài đặt Windows -> Sổ đăng ký . Đặt các tham số đăng ký tương tự trong khóa đăng ký HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings.
Thay đổi cài đặt proxy WinHTTP qua GPO
Một số dịch vụ hoặc ứng dụng hệ thống (ví dụ: dịch vụ cập nhật Wususer hoặc PowerShell) không sử dụng cài đặt proxy của người dùng theo mặc định. Để các ứng dụng đó hoạt động chính xác và truy cập Internet, bạn cần định cấu hình cài đặt proxy WinHTTP trong Windows.
Để kiểm tra xem proxy WinHTTP có được cấu hình trên máy tính của bạn hay không, hãy chạy lệnh:
netsh winhttp show proxyCâu trả lời "
Direct access (no proxy server)” có nghĩa là không có proxy nào được đặt.
Bạn có thể tự đặt proxy cho WinHTTP trên máy tính của mình bằng lệnh:
netsh winhttp set proxy proxy.a-d.site:3128 "localhost;10.1.*;192.168.*;*.a-d.site"Hoặc nhập cài đặt proxy từ cài đặt Internet Explorer của người dùng:
netsh winhttp import proxy source=ie
Tuy nhiên, bạn sẽ không thể định cấu hình WinHTTP thông qua GPO - không có tham số tương ứng trong trình chỉnh sửa GPO và tham số được lưu trữ trong thuộc tính đăng ký nhị phân không phù hợp để chỉnh sửa trực tiếp.
Cách duy nhất để đặt cài đặt proxy WinHTTP trên Windows qua GPO là định cấu hình proxy WinHTTP trên máy tính tham chiếu, xuất giá trị của tham số WinHttpSettings từ khóa đăng ký HKLM\SOFTWARE\Microsoft\Windows \CurrentVersion\Internet Settings\Connections và triển khai tham số này cho các máy tính miền thông qua tiện ích đăng ký GPP.
