Gpo windows 10 прокси сервер

Добрый день! Уважаемые читатели и гости одного из крупнейших IT порталов Pyatilistnik.org. В прошлый раз мы с вами разобрали, как скопировать файл и папку через групповую политику. Сегодня мы вновь воспользуемся их возможностями и рассмотрим ситуацию, при которой вам необходимо настроить запрет изменения настроек прокси-сервера с помощью GPO для браузеров Internet Explorer, Google Chrome, Mozilla Firefox, Yandex браузер. Мы рассмотрим для чего это нужно, что это даст в практическом выражении для системного администратора.

Для чего нужно убирать возможность изменения настроек прокси-сервера

Перед практической частью я бы хотел описать реальные случаи из своей практики, где мне пришлось ограничивать пользователей в данном вопросе.

1. Первый пример, я работаю в очень крупной компании, это подразумевает. что некоторые мелкие или рутинные задачи проектов или под проектов могут выполнять подрядчики. Для подрядчиков есть отдельный терминальный стол, где они варятся. Для некоторых из них необходимы особые условия, например запрет выхода в интернет, но при этом иметь возможность обращаться к локальным ресурсам. Особо продвинутые могут попытаться найти бесплатные адреса прокси и прописать их в браузере, чтобы этого не произошло необходимо убрать у них возможность менять настройки прокси-сервера.
2. Второй пример, это RDS ферма, где так же работают сотрудники компании. Они выходят в интернет через определенный шлюз. Чтобы это не обойти прописав в настройках сторонний прокси сервер, нужно заблокировать у них такую возможность. На самом деле вариантов применения очень много.

Методы запрета изменения настроек прокси сервера

В данном примере я покажу вам несколько вариантов, которые вы сможете использовать по своим требованиям. Первый вариант, это использование ISE настроек групповой политики, второй вариант, это использование ключей реестра.

И так у меня в домене Active Directory есть компьютер W10CL02 под управление операционной системы Windows 10 и пользователь Барбоскин Геннадий.

Мне бы хотелось запретить ему изменять настройки прокси сервера в Internet Explorer и в настройках Proxy на уровне системы. В прошлый раз мы с вами через групповые политики назначили на его компьютере свои настройки прокси-сервера, которые были прописаны в настройках «Параметры — Прокси сервер«

или же в «Настройках параметров локальной сети» в Internet Explore 11.

Вся проблема заключается в том, что Геннадий умеет изменять эти настройки и знает, что для этого не требуется наличие административных прав в системе. Это не порядок и давайте это исправлять. Откройте оснастку «Управление групповой политикой», можно из окна выполнить, введя gpmc.msc

Найдите ваше организационное подразделение к которому вы будите применять объект групповой политики, тут нужно не забывать, что вы можете настроить ограничение на уровне пользователя или на уровне компьютера, если сделаете на уровне компьютера, то это будет распространяться на всех его пользователей, обычно это делают на терминальных серверах. В моем примере я сделаю настройку для компьютера, но и покажу и для пользователя. Создаем новый объект GPO и задаем ему нужное вам имя. Переходим к ее редактированию.

Откройте ветку настроек, если для компьютера:

Включение параметра «Запретить изменение параметров прокси» отнимет права на изменение данной функции.

Откройте ветку настроек, если для пользователя:

Произведем обновление групповых политик на компьютере пользователя и проверим результат нашей политики по ограничению настроек прокси-сервера. Если политика была нацелена на компьютер, то она применится сразу ,если на пользователя ,то ему придется произвести выход из системы, чтобы увидеть данные настройки. При следующей авторизации я зашел в настройки Internet Explorer, где я вижу, что политика успешно отработала.

На вкладке «Подключения — Настройки сети» я не могу взаимодействовать со вкладкой «Прокси-сервер: использовать прокси-сервер для локальных подключений (не применяется для коммутируемых или VPNподключений)», она просто неактивна.

Если попытаться изменить настройки для Google Chrome или Mozilla, то вас перекинет в параметры Windows или же на вкладку подключений Internet Explorer, где вы так же не сможете ничего изменить.

В Edge та же песня, из вкладки «Дополнительно — Открыть параметры прокси-сервера«

То же самое можно проверить в параметрах Windows 10 в разделе «Прокси-сервер», где у меня не активен ползунок «использовать прокси-сервер«. Ограничения отлично работают.

Как включить запрет изменения настроек прокси через реестр Windows

Если вы не в курсе, то любые настройки которые вы меняете через групповые политики и расширения ISE, это просто изменение ключей реестра Windows на удаленной системе. Зная, это вы можете производить ограничения и через ключи, которые можете распространять через скрипты, туже групповую политику. Нам потребуется создать два ключа реестра, делать я это буду так же через объект GPO созданный ранее, но уже вам необходимо будет перейти в раздел преференций:

тут необходимо будет кликнуть правым кликом мыши по пустому пространству и создать новый элемент реестра.

В свойствах окна нужно настроить:

• В области «действие» выберите пункт «Обновить», в результате этого действия существующий параметр реестра будет обновлен
• В разделе «Куст» выберите HKEY_CURRENT_USER
• В пути к разделы укажите Software\Policies\Microsoft\Internet Explorer\Control Panel
• В имени параметра пропишите Proxy
• Тип параметра будет REG_DWORD
• Значение 1, будет активировать запрет на изменение настроек прокси-сервера в Windows для любого браузера Internet Explorer, Google Chrome, Mozilla Firefox, Yandex браузер.
• База — укажите десятичный формат

У меня получилось вот так

Если вы хотите вообще ограничить просмотр свойств Internet Explorer, то можете создать ключ NoBrowserOptions:

В свойствах окна нужно настроить:

• В области «действие» выберите пункт «Обновить», в результате этого действия существующий параметр реестра будет обновлен
• В разделе «Куст» выберите HKEY_CURRENT_USER
• В пути к разделы укажите Software\Policies\Microsoft\Internet Explorer\Restrictions
• В имени параметра пропишите NoBrowserOptions
• Тип параметра будет REG_DWORD
• Значение 1, будет активировать запрет на доступ к свойствам IE
• База — укажите десятичный формат

теперь попытавшись открыть свойства Internet Explorer у вас появится предупреждение:

Вообще полный список ключей для изменения настроек Internet Explorer вы можете найти по ссылке слева. Так же хочу отметить, что вы легко можете вносить изменения в реестре и на не доменных рабочих станциях, для этого вам нужны права администратора. дающие права на удаленное подключение к реестру. Так же вы можете использовать ветки реестра и значения в своих скриптах на базе PowerShell, вариантов уйма.

Настройка параметров прокси-сервера в Windows с помощью групповых политик

В этой статье мы рассмотрим, как централизованно задать настройки прокси на компьютерах с Windows 10 в домене Active Directory с помощью групповых политик. Большинство распространенных браузеров (таких как Microsoft Edge, Google Chrome, Internet Explorer, Opera) и большинство приложений автоматически используют для доступа в интернет параметры прокси сервера, заданные в Windows. Также мы рассмотрим, как задать параметры системного WinHTTP прокси.

В этой статье мы рассмотрим особенности настройки прокси сервера политиками в поддерживаемых версиях Windows (Windows 10, 8.1 и Windows Server 2012/2016/2019). Обратите внимание, что в снятых с поддержки Windows 7/Server 2008R2, Windows XP/Windows Server 2003 параметры прокси сервера задаются по другому.

Как задать параметры прокси сервера в Windows через GPO?

В новых версиях Windows для настройки параметров IE и прокси в редакторе GPO нужно использовать предпочтения групповых политик GPP (Group Policy Preferences). Также есть вариант использования специального расширения Internet Explorer Administration Kit 11 (IEAK 11) – но применяется он редко.

Откройте консоль редактора доменных GPO (Group Policy Management Console – GPMC.msc ), выберите OU с пользователями, для которых нужно назначить параметры прокси-сервера и создайте новую политику Create a GPO in this domain, and Link it here.

Перейдите в раздел User Configuration -> Preferences -> Control Panel Settings -> Internet Settings. В контекстном меню выберите пункт New -> и выберите Internet Explorer 10.

Для настройки параметров прокси в Windows 10/Windows Server 2016 нужно использовать пункт Internet Explorer 10.

Перед вами появится специальная форма, практически полностью идентичная настройкам параметра обозревателя в панели управления Windows. Например, вы можете указать домашнюю страницу (Вкладка General, поле Home page).

Доступные функциональные клавиши

• F5 – Включить все настройки на текущей вкладке
• F6 – Включить выбранный параметр
• F7 – Отключить выбранный параметр
• F8 – Отключить все настройки на текущей вкладке

Чтобы указать параметры прокси-сервера, перейдите на вкладку Connections и нажмите кнопку Lan Settings). Прокси сервер можно настроить одним из следующих способов:

• Automatically detect settings — автоматическое определение настроек с помощью файла wpad.dat;
• Use automatic configuration script — скрипт автоконфигурации (proxy.pac);
• Proxy Server – можно вручную указать IP адрес или DNS имя прокси сервера и порт подключения. Это самый простой способ настроить прокси в Windows, его и будем использовать.

Поставьте галку Use a proxy server for your LAN, а в полях Address и Port соответственно укажите IP/FQDN имя прокси-сервера и порт подключения.

Включив опцию Bypass Proxy Server for Local Addresses можно запретить приложениям (в том числе браузеру) использовать прокси-сервер при доступе к локальным ресурсам (в формате http://intranet ). Если вы используете адреса ресурсов вида https://winitpro.ru или http://192.168.20.5 , то эти адреса не распознаются Windows как локальные. Эти адреса и адреса других ресурсов, для доступа к которым не нужно использовать прокси, нужно указать вручную. Нажмите кнопку Advanced и в поле Exceptions введите адреса в формате: 10.*;192.168.*;*.loc;*.contoso.com

После сохранения политики вы можете просмотреть XML файл с заданными настройками браузера в каталоге политики на контроллере домена \\DC1\SYSVOL\winitpro.ru\Policies\(PolicyGuiID)\ User\Preferences\InternetSettings\InternetSettings.xml

В GPP есть возможность более тонко нацелить политику на клиентов. Для этого используется GPP Item Level Targeting. Перейдите на вкладку Common, включите опцию Item-level targeting -> Targeting.

В открывшейся форме укажите условия применения политики. В качестве примера я указал, что политика настройки прокси будет применена только к пользователям, которые состоят в доменной группе ruspb_proxy_users. Вы можете использовать собственную логику назначения параметров прокси (в зависимости от IP подсети, сайта AD и т.д.).

Осталось назначить политику IE на контейнер с пользователями и обновить политики на них. После обновления политики на компьютерах пользователей должны примениться новые настройки прокси в IE. В Windows 10 текущие параметры прокси можно посмотреть в разделе Settings -> Network and Internet -> Proxy. Как вы видите, на компьютере теперь заданы настройки прокси, указанные в доменной политике.

Настройка параметров прокси через реестр и GPO

Кроме того, настроить параметры IE можно и через реестр, политиками GPP. К примеру, чтобы включить прокси для пользователя нужно настроить следующие параметры реестра в ветке HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Internet Settings.

Перейдите в редакторе GPO в раздел User Configuration -> Preferences -> Windows Settings -> Registry и создайте три параметра реестра в указанной ветке:

• ProxyEnable (REG_DWORD) = 00000001
• ProxyServer (REG_SZ) = 192.168.0.50:3128
• ProxyOverride (REG_SZ) = *winitpro.ru;https://*.contoso.com;192.168.*;

Здесь также можно использовать Item level targeting для более тонкого нацеливания политик.

Если вам нужно создать политики не для каждого пользователя (per-user), а для всех пользователей компьютера (per-computer), используйте параметры GPP из раздела GPO Computer Configuration -> Preferences -> Windows Settings -> Registry. Используйте аналогичные параметры реестра в ветке HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings.

Настройка параметров WinHTTP прокси групповыми политиками

Некоторые системные сервисы или приложения (например, служба обновлений Wususerv или PowerShell) по-умолчанию не используют пользовательские настройки прокси сервера из параметров Internet Explorer. Чтобы такие приложения работали корректно и получали доступ в интернет, вам нужно задать в Windows настройки системного прокси WinHTTP.

Чтобы проверить, настроен ли на вашем компьютере WinHTTP прокси, выполните команду:

netsh winhttp show proxy

Ответ “ Direct access (no proxy server) ” говорит о том, что прокси не задан, система использует прямой интернет доступ.

Вы можете задать на компьютере прокси для WinHTTP вручную командой:

netsh winhttp set proxy 192.168.0.50:3128 «localhost;192.168.*;*.winitpro.com»

Или импортировать настройки прокси из параметров Internet Explorer теекщего пользователя:

netsh winhttp import proxy source=ie

Однако настроить WinHTTP через GPO не получится – в редакторе GPO нет соответствующего параметра, а в реестре параметры хранятся в бинарном виде и не подходят для прямого редактирования.

Единственный вариант задать параметры WinHTTP прокси – настроить их на эталонном компьютере, выгрузить значение параметра WinHttpSettings в ветке реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections в reg файл и распространить этот параметр на компьютеры в домене через GPP registry.

А как через ГПП запретить смену настроект прокси для обычных юзеров?

Напрямую нельзя. Но в разделе User Configuration -> Administrative Templates -> Windows Components -> Internet Explorer есть политика Prevents users from changing proxy settings.
В принципе тоже самое можно сделать через GPP, внеся в реестр те же изменения, которые вносит политика.

Или настроить прокси через политики, а затем запретить показывать вкладку «Connections»

У меня на контроллерах стоит Windows Server 2008 R2, но у него в настройках обозревателя в разделе User Configuration -> Preferences -> Control Panel Settings -> Internet Settings нет нового пункта Internet Explorer 10, только Internet Explorer 8, видимо нужно что-то обновить, подскажите пожалуйста что именно.

Нужно установить административные шаблоны GPO для Windows Internet Explorer 10 ( Group Policy Administrative Template files for Windows Internet Explorer 10):
_http://www.microsoft.com/en-us/download/details.aspx?id=37009

Добрый день! В соответствии со статьей которую вы предложили для добавления настроек IE 10-11 в GPO Windows Server 2008 R2 нужно скопировать с заменой файлы inetres.admx в папку %SYSTEMROOT%\PolicyDefinitions\ но доступа то туда нет. Даже назначив себя владельцем этой папки доступа туда нет. Как быть то? Как заменить эти файлы?

В общем для кого то может это и очевидно, но для меня нет. Зачем в статье от майкрософт было указано заменить эти файлы я так и не понял, потому что gpmc которая на win server 2008 r2 все равно старая и в Параметры обозревателя так и не появится Internet Explorer 10. Для того что бы нормально настроить 10 и последующие браузеры надо редактировать GPP с новой ОС (кстати что то подобное было в этой статье) например Win 8.1 с установленным RSAT естественно и тогда все будет ок. Спасибо за статью, только с 5 раза вчитался и понял что еще есть заветные клавиши F5 и прочие (тупил час почти почему не применяется), божечки зачем они это придумали. Спасибо.

Отлично, что разобрались сами. Да это не очень очевидно, что нужно править ГПО с машины со свежей версии ОС.

Привет.
ссылка не работает.
Напиши рабочую ссылку спасибо.

А что если ранее были параметры заданы «User configuration –> Policies –> Windows Settings –> Internet Explorer Maintenance» и теперь этот раздел недоступен — как отменить в текущей политике его значения? (В параметрах значения все еще выводятся) и даже если задать новым способом «User Configuration -> Preferences -> Control Panel Settings -> Internet Settings» то приоритетными параметрами почему-то являются старые и не затираются теми что были внесены по новой схеме. Проблема в том что старого раздела теперь не существует и как настройки из него очистить? Не охота пересоздавать политику заново..

Проблему решил по аналогии с предыдущей проблемой совместимости: с компьютера где XP или 2003 надо открыть нужную политику и там старая ветка «Internet Explorer Maintenance» будет — нажать на нее правой кнопкой и выбрать «сброс параметров обозревателя».

Привет.
Что то я не понял как ты удалил старые значения.
Напиши подробнее. спасибо.

Попробуйте отредактировать политику из старой версии Windows (Windows 7, Windows 2008 R2 и прочее), в них раздел GPO Internet Explorer Maintenance отображается корректно.

Привет.
Это что нужно сделать на каждом компьтере домена?

Нет, достаточно отключить ветку «Internet Explorer Maintenance» один раз в доменной GPO

Привет.
Извини не догоняю(
Открываю xp в домене. Захожу в групповую политику.
Нахожу настройки по iexploera. там в url ничего не указано, и кнопка — сбросить настройки не активна.
А браузер все равно грузит старые адреса.

У вас настройки IE задаются через локальные или доменные GPO?
Мы подразумеваем 2 (доменный) вариант. Старый раздел User configuration –> Policies –> Windows Settings –> Internet Explorer Maintenance будет доступен для редактирования с Windows 7 / 2008 через консоль GPMC.msc с установленным RSAT

Доброго времени суток.
Я тут настроил параметры прокси и в исключениях имеются кириллические домены, в настройках они отображаются нормально, а вот к сожалению на рабочих станциях получаем кракозябры 🙁
Может кто посоветует что можно сделать?

Под кракозябрами подразумевается так называемый Punycod формат? Например, для домена Punycod _президент.рф это будет _xn--d1abbgf6aiiy.xn--p1ai
Или что то нетранслируемое?

Нет не Punycod, происходит отображение в другой кодировке и соответственно исключение не отрабатывает.

Здравствуйте! А как запретить изменять параметры (в частности автоматическое определение параметров) для программ? Некоторые из них (прокси чарли вроде) снимают галочки с настроек, не смотря что они серые (сам пользователь их не может менять)? Ещё в W7 в редакторе групповых политик я не нашёл настроек прокси (применял готовые файлы реестра), это из-за IE10/11 как я понял?

Как через груповые политики задать две стартовые страницы, через сайт все просто с новой строки, но групповых политиках нет такой возможности. Может есть какой-то трюк ?

привет.
В GPO у меня написано каждый сайт с новой строчки и все норм 2 сайта грузится на старте.

А где в ИЕ11 настраивается первоначальный запуск ИЕ ?? Тот который http://c2n.me/3EKiIXg просит выбрать параметры совместимости и безопасности

Помогите пожалуйста, настроен прокси сервер через GPO, не могу отключить. В GPRESULT его видно, а в GPMC.msc не могу найти.

Понять какая GPO меняет тут или иную настройку можно с помощью HTML отчета GPRESULT (gpresult /h c:\tmp\gpreport.html, имя примененной GPOбудет отображаться в пол Winning GPO) или результатов rsop.msc (находите нужную политику и на вкладке Precedence видно какая GPO его применила)

Я точно знаю какая GPO меняет настройку, в моем случае это default domain policy. Удалять ее нельзя, сбрасывать страшно (dcgpofix не рекомендуют). Как убрать из нее настройки прокси пока не знаю.
Ничего не обнаружил применяя html-отчет gpresult и rsop.msc.
Зато обнаружил настройки прокси в папке SYSVOL контроллера домена, в папке [имя домена]\Policies\<31b2f340-016d-11d2-945f-00c04fb984f9>\USER\Microsoft\IEAK есть файл «install.ins». В нем подредактировал настройки (отключил прокси Proxy_Enable=0). Просто так сохранить файл не получилось, он восстанавливался. Пришлось сделать бакап политики, подредактировать в бакапе и восстановить из бакапа. Обнаружил, что политика работает только на компьютерах с Windows XP. К сожалению на них html-отчет в gpresult недоступен. С параметром /Z вижу настройки прокси, но как их убрать не представляю. *Ниже то что выдает gpresult /z (только то что относится к делу)

Перенаправление папки
———————
Н/Д

Пользовательский интерфейс обозревателя Internet Explorer
———————————————————
GPO: Default Domain Policy
Имя крупного подвижного рисунка: Н/Д
Имя файла крупной эмблемы: Н/Д
Текст заголовка: Н/Д
Текст агента пользователя: Н/Д
Удалить существующие кнопки на панели: Нет

Подключения Internet Explorer
——————————
Прокси-сервер HTTP: 191.168.79.128:3128
Прокси-сервер Secure: 191.168.79.128:3128
Прокси-сервер FTP: 191.168.79.128:3128
Прокси-сервер Gopher: 191.168.79.128:3128
Прокси-сервер Socks: 191.168.79.128:3128
Разрешить автоматическую настройку: Нет
Разрешить использование прокси: Нет
Использовать один прокси-сервер: Да

Адреса Internet Explorer
————————
GPO: Default Domain Policy
Домашняя страница: http://ya.ru/
Адрес страницы поиска: Н/Д
Адрес страницы поддержки: Н/Д

Безопасность Internet Explorer
——————————
Всегда отображаемые сервера: Н/Д
Разрешить перекрытие пароля: Ложь

GPO: Default Domain Policy
Импортировать текущие параметры оценки содержимого: Нет
Импортировать текущие параметры зон безопасности: Нет
Импортировать текущую информацию безопасности Authenticode: Нет
Зафиксировать список заслуживающих доверия издателей: Нет

Программы Internet Explorer
—————————
GPO: Default Domain Policy
Импортировать текущие параметры программ: Нет

Никогда не сталкивался с файлом install.ins. Немного почитал о нем. Судя по описанию он создается при включении политики IE Maintenance и просто хранит ее настройки. Судя по всему у вас там мусор хранится.
Проверьте в консоли GPMC, что <31b2f340-016d-11d2-945f-00c04fb984f9>соответствует политика Default Domain Policy.
Включите в этой политике IE Maintenance и задайте настройки IE. Дождитесь обновления политики на всех DC. Файл install.ins должен обновится. После этого отключите настройки IE в политики, скорее всего файл удалится.

Пробовал все сделать по инструкции, все равно политика не применяется
пишет при gpresult /R
Следующие политики GPO не были приняты, поскольку они отфильтрованы
———————————————————————
IE10_11
Фильтрация: Не применяется (пусто)
Что не хватает не понимаю
Контролеры 2008R2, Машины на win7
подскажите куда копать

Попробуй настроить групповую политику с компьютера / сервера под Windows 8 /2012 / R2 с установленной актуальной версией RSAT

Интересно, а как теперь заставить Internet Explorer быть по умолчанию обозревателем для всех ссылок? При открывании из почты, при нажатии в других приложениях на ссылочные объекты? Даже если есть уже другой браузер, и если его уже поставили по умолчанию в системе?

Хотите задать руками или через GPO?
Какая ОС? В Win 7 можно задать ассоциации тут Control Panel\All Control Panel Items\Default Programs. По типам файлов (Associate a file type or protocol with a program) и в разделе Set your default programs