Znane ograniczenia dotyczące globalnego bezpiecznego dostępu

Znane ograniczenia klienta globalnego bezpiecznego dostępu dla Windows obejmują:

Bezpieczny system nazw domen (DNS)

Klient globalnego bezpiecznego dostępu nie obsługuje obecnie bezpiecznego systemu DNS w różnych wersjach, takich jak DNS przez HTTPS (DoH), DNS przez TLS (DoT) lub rozszerzenia zabezpieczeń DNS (DNSSEC). Aby skonfigurować klienta, aby mógł uzyskać ruch sieciowy, należy wyłączyć bezpieczny system DNS. Aby wyłączyć system DNS w przeglądarce, zobacz Bezpieczny system DNS wyłączony w przeglądarkach.

DNS za pośrednictwem protokołu TCP

System DNS używa portu 53 UDP do rozpoznawania nazw. Niektóre przeglądarki mają własnego klienta DNS, który obsługuje również port 53 TCP. Klient Global Secure Access obecnie nie obsługuje TCP portu DNS 53. Aby zaradczeć, wyłącz klienta DNS przeglądarki, ustawiając następujące wartości rejestru:

• Microsoft Edge
  [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
• Chrom
  [HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
  Dodaj też przeglądanie chrome://flags i wyłącz Async DNS resolver.

Reguły tabeli zasad rozpoznawania nazw w zasadach grupy nie są obsługiwane

Globalny klient bezpiecznego dostępu dla Windows nie obsługuje reguł tabeli zasad rozpoznawania nazw (NRPT) w zasadach grupy. Aby obsługiwać prywatny system DNS, klient konfiguruje lokalne reguły NRPT na urządzeniu. Te reguły przekierowuje odpowiednie zapytania DNS do prywatnego systemu DNS. Jeśli reguły NRPT są skonfigurowane w zasadach grupy, zastępują lokalne reguły NRPT skonfigurowane przez klienta i prywatny system DNS nie działa.

Ponadto reguły NRPT skonfigurowane i usunięte w starszych wersjach Windows utworzyły pustą listę reguł NRPT w pliku registry.pol. Jeśli ten obiekt zasad grupy (GPO) jest stosowany na urządzeniu, pusta lista zastępuje lokalne reguły NRPT i prywatny system DNS nie działa.

Środki zaradcze:

1. Jeśli klucz rejestru HKLM\Software\Policies\Microsoft\Windows NT\DNSClient\DnsPolicyConfig istnieje na urządzeniu użytkownika końcowego, skonfiguruj obiekt zasad grupy w celu zastosowania reguł NRPT.
2. Aby dowiedzieć się, które obiekty zasad grupy są skonfigurowane przy użyciu reguł NRPT:
   1. Uruchom gpresult /h GPReport.html na urządzeniu użytkownika końcowego i poszukaj konfiguracji NRPT.
   2. Uruchom następujący skrypt, który wykrywa ścieżki wszystkich plików registry.pol w sysvol zawierających reguły NRPT.

# =========================================================================
# THIS CODE-SAMPLE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND, EITHER 
# EXPRESSED OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE IMPLIED WARRANTIES 
# OF MERCHANTABILITY AND/OR FITNESS FOR A PARTICULAR PURPOSE.
#
# This sample is not supported under any Microsoft standard support program 
# or service. The code sample is provided AS IS without warranty of any kind. 
# Microsoft further disclaims all implied warranties including, without 
# limitation, any implied warranties of merchantability or of fitness for a 
# particular purpose. The entire risk arising out of the use or performance
# of the sample and documentation remains with you. In no event shall 
# Microsoft, its authors, or anyone else involved in the creation, 
# production, or delivery of the script be liable for any damages whatsoever 
# (including, without limitation, damages for loss of business profits, 
# business interruption, loss of business information, or other pecuniary 
# loss) arising out of  the use of or inability to use the sample or 
# documentation, even if Microsoft has been advised of the possibility of 
# such damages.
#========================================================================= 

# Define the sysvol share path.
# Change the sysvol path per your organization, for example: 
# $sysvolPath = "\\dc1.contoso.com\sysvol\contoso.com\Policies"
$sysvolPath = "\\<DC FQDN>\sysvol\<domain FQDN>\Policies"  ## Edit

# Define the search string.
$searchString = "dnspolicyconfig"

# Define the name of the file to search.
$fileName = "registry.pol"

# Get all the registry.pol files under the sysvol share.
$files = Get-ChildItem -Path $sysvolPath -Recurse -Filter $fileName -File

# Array to store paths of files that contain the search string.
$matchingFiles = @()

# Loop through each file and check if it contains the search string.
foreach ($file in $files) {
    try {
        # Read the content of the file.
        $content = Get-Content -Path $file.FullName -Encoding Unicode
        
        # Check if the content contains the search string.
        if ($content -like "*$searchString*") {
            $matchingFiles += $file.FullName
        }
    } catch {
        Write-Host "Failed to read file $($file.FullName): $_"
    }
}

# Output the matching file paths.
if ($matchingFiles.Count -eq 0) {
    Write-Host "No files containing '$searchString' were found."
} else {
    Write-Host "Files containing '$searchString':"
    $matchingFiles | ForEach-Object { Write-Host $_ }
}

3. Edytuj każdy z obiektów zasad grupy znalezionych w poprzedniej sekcji:
   1. Jeśli sekcja NRPT jest pusta, utwórz nową regułę fikcyjną, zaktualizuj zasady, usuń regułę fikcyjną i zaktualizuj zasady ponownie. Te kroki powodują usunięcie DnsPolicyConfig z pliku registry.pol (który został utworzony w starszej wersji Windows).
   2. Jeśli sekcja NRPT nie jest pusta i zawiera reguły, upewnij się, że nadal są potrzebne te reguły. Jeśli nie potrzebujesz reguł, usuń je. Jeśli potrzebujesz reguł i zastosuj obiekt zasad grupy na urządzeniu z klientem globalnego bezpiecznego dostępu, prywatna opcja DNS nie działa.

Powrót połączenia

Jeśli wystąpi błąd połączenia z usługą w chmurze, klient powraca do bezpośredniego połączenia internetowego lub blokuje połączenie na podstawie wartości wzmacniania zabezpieczeń reguły dopasowania w profilu przekazywania.

Geolokalizacja

W przypadku ruchu sieciowego tunelowanego do usługi w chmurze serwer aplikacji (witryna internetowa) wykrywa źródłowy adres IP połączenia jako adres IP krawędzi (a nie jako adres IP urządzenia użytkownika). Ten scenariusz może mieć wpływ na usługi, które opierają się na geolokalizacji.

Obsługa wirtualizacji

Nie można zainstalować klienta globalnego bezpiecznego dostępu na urządzeniu, na którym są hostowane maszyny wirtualne. Można jednak zainstalować klienta globalnego bezpiecznego dostępu na maszynie wirtualnej, o ile klient nie jest zainstalowany na maszynie hosta. Z tego samego powodu Podsystem Windows dla systemu Linux (WSL) nie uzyskuje ruchu od klienta zainstalowanego na maszynie hosta.

obsługa Hyper-V:

1. Zewnętrzny przełącznik wirtualny: klient globalnego bezpiecznego dostępu Windows nie obsługuje obecnie maszyn hostów z Hyper-V zewnętrznym przełącznikiem wirtualnym. Klient można jednak zainstalować na maszynach wirtualnych w celu tunelowania ruchu do globalnego bezpiecznego dostępu.
2. Wewnętrzny przełącznik wirtualny: klient globalnego bezpiecznego dostępu Windows można zainstalować na maszynach hosta i gościa. Klient tuneluje tylko ruch sieciowy maszyny, na którym jest zainstalowany. Innymi słowy, klient zainstalowany na maszynie hosta nie tuneluje ruchu sieciowego maszyn gościa.

Klient globalnego bezpiecznego dostępu Windows obsługuje Azure Virtual Machines i Azure Virtual Desktop (AVD).

serwer pośredniczący

Jeśli serwer proxy jest skonfigurowany na poziomie aplikacji (np. przeglądarki) lub na poziomie systemu operacyjnego, skonfiguruj plik automatycznej konfiguracji serwera proxy (PAC), aby wykluczyć wszystkie nazwy FQDN i adresy IP, które oczekujesz, że klient będzie tunelowany.

Aby zapobiec żądaniom HTTP dla określonych nazw FQDN/adresów IP tunelowania do serwera proxy, dodaj nazwy FQDN/adresy IP do pliku PAC jako wyjątki. (Te nazwy FQDN/adresy IP znajdują się w profilu przekazywania globalnego bezpiecznego dostępu do tunelowania). Na przykład:

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

Wstrzykiwanie pakietów

Klient tuneluje tylko ruch wysyłany przy użyciu gniazd. Ruch nie jest tunelowany do stosu sieciowego przy użyciu sterownika (na przykład niektórych ruchu generowanych przez maper sieci (Nmap)). Wstrzyknięte pakiety przechodzą bezpośrednio do sieci.

Wiele sesji

Klient globalnego bezpiecznego dostępu nie obsługuje współbieżnych sesji na tym samym komputerze. To ograniczenie dotyczy serwerów protokołu Remote Desktop (RDP) i rozwiązań infrastruktury pulpitu wirtualnego (VDI), takich jak Azure Virtual Desktop (AVD), które są skonfigurowane na potrzeby wielu sesji.

QuiC nie jest obsługiwany w przypadku dostępu do Internetu

Ponieważ funkcja QUIC nie jest jeszcze obsługiwana w przypadku dostępu do Internetu, nie można tunelować ruchu do portów 80 UDP i 443 UDP.

Administratorzy mogą wyłączyć protokół QUIC wyzwalający klientów, aby powrócić do protokołu HTTPS za pośrednictwem protokołu TCP, który jest w pełni obsługiwany w programie Internet Access. Aby uzyskać więcej informacji, zobacz QUIC not supported for Internet Access (Nieobsługiwane w przypadku dostępu do Internetu).

Łączność WSL 2

Gdy na maszynie hosta jest włączony klient globalnego bezpiecznego dostępu dla Windows, połączenia wychodzące ze środowiska Podsystem Windows dla systemu Linux (WSL) 2 mogą być zablokowane. Aby rozwiązać ten problem, stwórz plik, .wslconfig który ustawi dnsTunneling na false. Dzięki temu cały ruch z usługi WSL pomija globalny bezpieczny dostęp i przechodzi bezpośrednio do sieci. Aby uzyskać więcej informacji, zobacz Konfiguracja ustawień zaawansowanych w programie WSL.

Znane ograniczenia klienta globalnego bezpiecznego dostępu dla systemu macOS obejmują:

Bezpieczny system nazw domen (DNS)

Jeśli bezpieczny system DNS jest włączony w przeglądarce lub w systemie macOS, a serwer DNS obsługuje bezpieczny system DNS, klient nie tuneluje ruchu ustawionego na uzyskanie przez nazwę FQDN. (Ruch sieciowy uzyskany przez adres IP nie ma wpływu i jest tunelowany zgodnie z profilem przekazywania). Aby rozwiązać problem z bezpiecznym systemem DNS, wyłącz bezpieczny system DNS, ustaw serwer DNS, który nie obsługuje bezpiecznego systemu DNS lub utwórz reguły na podstawie adresu IP.

Powrót połączenia

Jeśli wystąpi błąd połączenia z usługą w chmurze, klient powraca do bezpośredniego połączenia internetowego lub blokuje połączenie na podstawie wartości wzmacniania zabezpieczeń reguły dopasowania w profilu przekazywania.

Geolokalizacja źródłowego adresu IP

W przypadku ruchu sieciowego tunelowanego do usługi w chmurze serwer aplikacji (witryna internetowa) wykrywa źródłowy adres IP połączenia jako adres IP krawędzi (a nie jako adres IP urządzenia użytkownika). Ten scenariusz może mieć wpływ na usługi, które opierają się na geolokalizacji.

Obsługa wirtualizacji za pomocą protokołu UTM

• Jeśli sieć jest w trybie mostkowym , a na maszynie hosta jest zainstalowany klient globalnego bezpiecznego dostępu:
  • Jeśli na maszynie wirtualnej jest zainstalowany klient globalnego bezpiecznego dostępu, ruch sieciowy maszyny wirtualnej podlega zasadom lokalnym. Zasady maszyny hosta nie mają wpływu na profil przekazywania na maszynie wirtualnej.
  • Jeśli klient globalnego bezpiecznego dostępu nie jest zainstalowany na maszynie wirtualnej, ruch sieciowy maszyny wirtualnej jest pomijany.
• Klient Global Secure Access nie obsługuje trybu współdzielonego sieci typu , ponieważ może blokować ruch sieciowy maszyn wirtualnych.
• Jeśli sieć jest w trybie udostępnionym , możesz zainstalować klienta globalnego bezpiecznego dostępu na maszynie wirtualnej z systemem macOS, o ile klient nie jest również zainstalowany na maszynie hosta.

QuiC nie jest obsługiwany w przypadku dostępu do Internetu

Ponieważ funkcja QUIC nie jest jeszcze obsługiwana w przypadku dostępu do Internetu, nie można tunelować ruchu do portów 80 UDP i 443 UDP.

Znane ograniczenia dotyczące globalnego klienta bezpiecznego dostępu dla systemu Android obejmują:

• Urządzenia przenośne z systemem Android (wersja Go) nie są obecnie obsługiwane.
• Ochrona punktu końcowego w usłudze Microsoft Defender na urządzeniach udostępnionych z systemem Android on nie jest obecnie obsługiwana.
• System nazw domen prywatnych (DNS) musi być wyłączony na urządzeniu. To ustawienie można zwykle znaleźć w obszarze Sieć systemowa > i Internet.
• Używanie produktów ochrony punktu końcowego innych niż Microsoft obok Ochrona punktu końcowego w usłudze Microsoft Defender może powodować problemy z wydajnością i nieprzewidywalne błędy systemowe.
• Współistnienie globalnego bezpiecznego dostępu z tunelem Microsoft nie jest obecnie obsługiwane. Aby uzyskać więcej informacji, zobacz Prerequisites for the Microsoft Tunnel in Intune (
• Globalny klient bezpiecznego dostępu nie obsługuje obecnie bezpiecznego systemu DNS w różnych wersjach, takich jak DNS przez HTTPS (DoH), DNS przez TLS (DoT) lub rozszerzenia zabezpieczeń DNS (DNSSEC). Aby skonfigurować klienta, aby mógł uzyskać ruch sieciowy, należy wyłączyć bezpieczny system DNS.

Znane ograniczenia dotyczące globalnego klienta bezpiecznego dostępu dla systemu iOS obejmują:

• Tunelowanie ruchu szybkich połączeń internetowych protokołu UDP (UDP) (z wyjątkiem Exchange Online) nie jest obsługiwane.
• Współistnienie globalnego bezpiecznego dostępu z tunelem Microsoft nie jest obecnie obsługiwane. Aby uzyskać więcej informacji, zobacz Prerequisites for the Microsoft Tunnel in Intune (
• Przesyłanie strumieniowe wideo wysokiej jakości może powodować przerwy od czasu do czasu
• Globalny klient bezpiecznego dostępu nie obsługuje obecnie bezpiecznego systemu DNS w różnych wersjach, takich jak DNS przez HTTPS (DoH), DNS przez TLS (DoT) lub rozszerzenia zabezpieczeń DNS (DNSSEC). Aby skonfigurować klienta, aby mógł uzyskać ruch sieciowy, należy wyłączyć bezpieczny system DNS.