Как запретить изменение настроек прокси-сервера через GPO, за минуту

Как запретить изменение настроек прокси-сервера через GPO, за минуту

Proxy logoДобрый день! Уважаемые читатели и гости одного из крупнейших IT порталов Pyatilistnik.org. В прошлый раз мы с вами разобрали, как скопировать файл и папку через групповую политику. Сегодня мы вновь воспользуемся их возможностями и рассмотрим ситуацию, при которой вам необходимо настроить запрет изменения настроек прокси-сервера с помощью GPO для браузеров Internet Explorer, Google Chrome, Mozilla Firefox, Yandex браузер. Мы рассмотрим для чего это нужно, что это даст в практическом выражении для системного администратора.

Для чего нужно убирать возможность изменения настроек прокси-сервера

Перед практической частью я бы хотел описать реальные случаи из своей практики, где мне пришлось ограничивать пользователей в данном вопросе.

  1. Первый пример, я работаю в очень крупной компании, это подразумевает. что некоторые мелкие или рутинные задачи проектов или под проектов могут выполнять подрядчики. Для подрядчиков есть отдельный терминальный стол, где они варятся. Для некоторых из них необходимы особые условия, например запрет выхода в интернет, но при этом иметь возможность обращаться к локальным ресурсам. Особо продвинутые могут попытаться найти бесплатные адреса прокси и прописать их в браузере, чтобы этого не произошло необходимо убрать у них возможность менять настройки прокси-сервера.
  2. Второй пример, это RDS ферма, где так же работают сотрудники компании. Они выходят в интернет через определенный шлюз. Чтобы это не обойти прописав в настройках сторонний прокси сервер, нужно заблокировать у них такую возможность. На самом деле вариантов применения очень много.

Методы запрета изменения настроек прокси сервера

В данном примере я покажу вам несколько вариантов, которые вы сможете использовать по своим требованиям. Первый вариант, это использование ISE настроек групповой политики, второй вариант, это использование ключей реестра.

Благодаря данной инструкции вы сможете запретить изменение настроек прокси в Internet Explorer, Google Chrome, Mozilla Firefox, Yandex браузер, в разделе прокси-сервер в Windows 10

Так же хочу отметить, что данная политика будет иметь эффект если пользователь имеет административные права в ОС, чтобы этого избежать произведите настройки фильтрации в ACL GPO политики

И так у меня в домене Active Directory есть компьютер W10CL02 под управление операционной системы Windows 10 и пользователь Барбоскин Геннадий.

Настроенный прокси-сервер в Windows 10

Мне бы хотелось запретить ему изменять настройки прокси сервера в Internet Explorer и в настройках Proxy на уровне системы. В прошлый раз мы с вами через групповые политики назначили на его компьютере свои настройки прокси-сервера, которые были прописаны в настройках "Параметры - Прокси сервер"

Параметры - Прокси сервер в Windows 10

или же в "Настройках параметров локальной сети" в Internet Explore 11.

Настроенный прокси-сервер в Internet Explorer 11

Вся проблема заключается в том, что Геннадий умеет изменять эти настройки и знает, что для этого не требуется наличие административных прав в системе. Это не порядок и давайте это исправлять. Откройте оснастку "Управление групповой политикой", можно из окна выполнить, введя gpmc.msc

Запуск оснастки "Управление групповой политикой"

Найдите ваше организационное подразделение к которому вы будите применять объект групповой политики, тут нужно не забывать, что вы можете настроить ограничение на уровне пользователя или на уровне компьютера, если сделаете на уровне компьютера, то это будет распространяться на всех его пользователей, обычно это делают на терминальных серверах. В моем примере я сделаю настройку для компьютера, но и покажу и для пользователя. Создаем новый объект GPO и задаем ему нужное вам имя. Переходим к ее редактированию.

Создаем новый объект GPO для запрета изменения прокси-сервера

Задаем имя новой групповой политики

Откройте ветку настроек, если для компьютера:

Конфигурация компьютера - Политики - Административные шаблоны - Компоненты Windows - Internet Explorer - Запретить изменение параметров прокси (Computer Configuration - Administrative Templates - Windows Components - Internet Explorer - Prevent changing proxy settings)

Включение параметра "Запретить изменение параметров прокси" отнимет права на изменение данной функции.

Запретить изменение параметров прокси (Prevent changing proxy settings)

Откройте ветку настроек, если для пользователя:

Конфигурация пользователя - Политики - Административные шаблоны - Компоненты Windows - Internet Explorer - Запретить изменение параметров прокси (User Configuration - Administrative Templates - Windows Components - Internet Explorer - Prevent changing proxy settings)

Настройка групповой политики для запрета настроек прокси-сервера

хочу напомнить, что настройки на уровне компьютера более приоритетнее, чем политика на пользователя, поэтому если на уровне компьютера стоит запрет, а на уровне пользователя разрешение, то суммарным результатом будет запрет

Произведем обновление групповых политик на компьютере пользователя и проверим результат нашей политики по ограничению настроек прокси-сервера. Если политика была нацелена на компьютер, то она применится сразу ,если на пользователя ,то ему придется произвести выход из системы, чтобы увидеть данные настройки. При следующей авторизации я зашел в настройки Internet Explorer, где я вижу, что политика успешно отработала.

Проверка запрета изменений настроек прокси-сервера в Intrnet Explorer 11

На вкладке "Подключения - Настройки сети" я не могу взаимодействовать со вкладкой "Прокси-сервер: использовать прокси-сервер для локальных подключений (не применяется для коммутируемых или VPNподключений)", она просто неактивна.

Проверка запрета изменений настроек прокси-сервера в параметрах Windows 10

Если попытаться изменить настройки для Google Chrome или Mozilla, то вас перекинет в параметры Windows или же на вкладку подключений Internet Explorer, где вы так же не сможете ничего изменить.

Проверка настроек прокси в Google Chrome

В Edge та же песня, из вкладки "Дополнительно - Открыть параметры прокси-сервера"

Проверка настроек прокси-сервера в Edge

То же самое можно проверить в параметрах Windows 10 в разделе "Прокси-сервер", где у меня не активен ползунок "использовать прокси-сервер". Ограничения отлично работают.

Как включить запрет изменения настроек прокси через реестр Windows

Если вы не в курсе, то любые настройки которые вы меняете через групповые политики и расширения ISE, это просто изменение ключей реестра Windows на удаленной системе. Зная, это вы можете производить ограничения и через ключи, которые можете распространять через скрипты, туже групповую политику. Нам потребуется создать два ключа реестра, делать я это буду так же через объект GPO созданный ранее, но уже вам необходимо будет перейти в раздел преференций:

Конфигурация пользователя - Настройки Конфигурация Windows - Реестр (User Configuration - Preferences - Windows Settings - Registry)

тут необходимо будет кликнуть правым кликом мыши по пустому пространству и создать новый элемент реестра.

Создание нового элемента реестра через групповую политику

В свойствах окна нужно настроить:

  • В области "действие" выберите пункт "Обновить", в результате этого действия существующий параметр реестра будет обновлен
  • В разделе "Куст" выберите HKEY_CURRENT_USER
  • В пути к разделы укажите Software\Policies\Microsoft\Internet Explorer\Control Panel
  • В имени параметра пропишите Proxy
  • Тип параметра будет REG_DWORD
  • Значение 1, будет активировать запрет на изменение настроек прокси-сервера в Windows для любого браузера Internet Explorer, Google Chrome, Mozilla Firefox, Yandex браузер.
  • База - укажите десятичный формат

Как включить запрет изменения настроек прокси через реестр Windows

У меня получилось вот так

Список создаваемых ключей реестра через групповую политику

Если вы хотите вообще ограничить просмотр свойств Internet Explorer, то можете создать ключ NoBrowserOptions:

В свойствах окна нужно настроить:

  • В области "действие" выберите пункт "Обновить", в результате этого действия существующий параметр реестра будет обновлен
  • В разделе "Куст" выберите HKEY_CURRENT_USER
  • В пути к разделы укажите Software\Policies\Microsoft\Internet Explorer\Restrictions
  • В имени параметра пропишите NoBrowserOptions
  • Тип параметра будет REG_DWORD
  • Значение 1, будет активировать запрет на доступ к свойствам IE
  • База - укажите десятичный формат

создать ключ NoBrowserOptions

теперь попытавшись открыть свойства Internet Explorer у вас появится предупреждение:

Операция отменена из-за действующих для компьютера ограничений. Обратитесь к своему системному администратору

Операция отменена из-за действующих для компьютера ограничений. Обратитесь к своему системному администратору

Вообще полный список ключей для изменения настроек Internet Explorer вы можете найти по ссылке слева. Так же хочу отметить, что вы легко можете вносить изменения в реестре и на не доменных рабочих станциях, для этого вам нужны права администратора. дающие права на удаленное подключение к реестру. Так же вы можете использовать ветки реестра и значения в своих скриптах на базе PowerShell, вариантов уйма.

Если вам лень самим создавать эти ключи реестра, то я подготовил для вас уже готовые, вам осталось их просто скачать

На этом у меня все, мы с вами разобрали методы запрещающие изменять настройки прокси-сервера в браузерах Internet Explorer, Google Chrome, Mozilla Firefox, Yandex браузер. С вами был Иван Семин, автор и создатель IT портала Pyatilistnik.org. До скорых встреч.

One Response to Как запретить изменение настроек прокси-сервера через GPO, за минуту

  1. Евгений:

    Данная настройка запретит настроить прокси в свойствах обозревателя, но в сторонних браузерах возможно будет настроить прокси сервер вручную, разве не так?

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *