Trong bài viết này, chúng ta sẽ xem cách cấu hình tập trung cài đặt proxy trên máy tính Windows 10 trong miền bằng Group Policy. Hầu hết trình duyệt phổ biến (Microsoft Edge, Google Chrome, Internet Explorer, Opera) và hầu hết ứng dụng tự động sử dụng cài đặt proxy được đặt trong Windows để truy cập Internet. Chúng ta cũng sẽ xem cách thiết lập cài đặt proxy WinHTTP trên Windows.
Chúng ta sẽ xem chi tiết cấu hình proxy server qua Group Policy trong các phiên bản Windows được hỗ trợ (Windows 10, 8.1, và Windows Server 2012/2016/2019). Lưu ý rằng cài đặt proxy được đặt khác nhau trong Windows 7/Server 2008R2, Windows XP/Windows Server 2003 đã ngừng hỗ trợ.
Cách đặt cài đặt Proxy trên Windows qua GPO?
Ban đầu, để cấu hình tập trung cài đặt Internet Explorer (bao gồm cài đặt proxy) bằng Group Policies trong môi trường miền Active Directory, chính sách Internet Explorer Maintenance (IEM) được sử dụng. Tùy chọn chính sách này nằm trong phần user GPO: User configuration -> Policies -> Windows Settings -> Internet Explorer Maintenance. Nhưng kể từ Windows Server 2012/Windows 8, chính sách IEM đã bị loại bỏ. Phần này không có trong các phiên bản Windows 10/Windows Server 2016/2019 hiện đại.
Trên các phiên bản Windows mới nhất, bạn phải sử dụng Group Policy Preferences (GPP) để cấu hình cài đặt IE và proxy trong Trình soạn thảo GPO. Cũng có tùy chọn sử dụng bộ mở rộng đặc biệt Internet Explorer Administration Kit 11 (IEAK 11) – nhưng ít khi dùng.
Mở bảng điều khiển trình soạn thảo GPO miền (Group Policy Management Console – GPMC.msc), chọn OU với người dùng bạn muốn áp dụng cài đặt proxy, và tạo chính sách mới Create a GPO in this domain, and Link it here.
Đi đến User Configuration -> Preferences -> Control Panel Settings -> Internet Settings. Trong menu ngữ cảnh, chọn New -> Internet Explorer 10.
Để cấu hình cài đặt proxy trên Windows 10/Windows Server 2016, bạn cần dùng mục Internet Explorer 10.
Mẹo. Mặc dù không có tùy chọn riêng cho Internet Explorer 11, chính sách Internet Explorer 10 nên áp dụng cho tất cả phiên bản IE từ 10 trở lên (trong file chính sách InternetSettings.xml, bạn thấy tùy chọn hợp lệ cho tất cả phiên bản IE từ 10.0.0.0 đến 99.0.0.0).
Một biểu mẫu Group Policy Preferences IE đặc biệt sẽ xuất hiện trước bạn, gần như giống hệt cài đặt Internet Options trong Bảng điều khiển Windows. Ví dụ, bạn có thể chỉ định trang chủ (tab General -> trường Home page).
Quan trọng. Chỉ lưu thay đổi trong Trình soạn thảo Group Policy là chưa đủ. Chú ý gạch đỏ và gạch xanh cho các cài đặt có thể cấu hình của Internet Explorer 10. Gạch đỏ chỉ ra cài đặt sẽ không được áp dụng. Để lưu và áp dụng một cài đặt cụ thể, nhấn F5. Gạch xanh của tham số nghĩa là tham số IE này sẽ được áp dụng qua GPP.
Các phím chức năng sau có sẵn:
- F5 – Bật tất cả cài đặt trên tab hiện tại
- F6 – Bật cài đặt được chọn
- F7 – Tắt cài đặt được chọn
- F8 – Tắt tất cả cài đặt trong tab hiện tại
Để chỉ định cài đặt proxy, chuyển đến tab Connections và nhấn nút Lan Settings. Proxy server có thể được cấu hình theo một trong các cách sau:
- Automatically detect settings – tự động phát hiện cài đặt dùng file wpad.dat;
- Use automatic configuration script – script tự động cấu hình (proxy.pac);
- Proxy Server – địa chỉ IP hoặc tên DNS của proxy server được chỉ định trực tiếp trong cài đặt chính sách. Đây là cách dễ nhất, và chúng ta sẽ dùng cách này.
Chọn tùy chọn Use a proxy server for your LAN, và chỉ định IP/tên FQDN của proxy server và cổng kết nối trong các trường Address và Port tương ứng.
Bằng cách bật tùy chọn Bypass proxy server for local addresses, bạn có thể ngăn ứng dụng (bao gồm trình duyệt) sử dụng proxy server khi truy cập tài nguyên cục bộ (định dạng https://localnetwork). Nếu bạn dùng địa chỉ tài nguyên như https://web1.woshub.loc hoặc https://192.168.1.5, thì các địa chỉ này không được Windows nhận diện là cục bộ. Các địa chỉ này và địa chỉ của tài nguyên khác, để truy cập không cần proxy, phải chỉ định thủ công. Nhấn nút Advanced và thêm các địa chỉ này vào trường Do not use proxy servers for addresses beginning with theo định dạng: 10.1.*;192.168.*;*.woshub.loc;*.local.net.
Mẹo. Cài đặt proxy trong Google Chrome cũng có thể đặt qua GPO bằng template quản trị đặc biệt. Đối với Mozilla Firefox, bạn có thể dùng giải pháp này.
Sau khi lưu chính sách, bạn có thể xem file InternetSettings.xml với cài đặt trình duyệt đã chỉ định trong thư mục chính sách trên domain controller:
\\UKDC1\SYSVOL\woshub.com\Policies\{PolicyGuiID}\User\Preferences\InternetSettings\InternetSettings.xml
GPP cho phép bạn nhắm mục tiêu chính sách đến người dùng/máy tính tinh tế hơn. Để làm này, GPP Item Level Targeting được dùng. Đi đến tab Common, bật tùy chọn Item-level targeting -> Targeting.
Trong biểu mẫu mở ra, chỉ định điều kiện áp dụng chính sách. Ví dụ, tôi chỉ ra rằng chính sách cấu hình proxy sẽ chỉ áp dụng cho người dùng là thành viên của nhóm bảo mật miền proxy_users. Bạn có thể dùng logic riêng để gán tham số proxy.
Còn lại là liên kết chính sách proxy với container AD chứa người dùng và cập nhật cài đặt chính sách trên họ. Sau khi áp dụng chính sách trên máy tính của người dùng, cài đặt IE mới nên được sử dụng. Bạn có thể kiểm tra cài đặt proxy hiện tại trên Windows 10 trong Settings -> Network and Internet -> Proxy. Như bạn thấy, máy tính giờ dùng cài đặt proxy chỉ định trong chính sách miền.
Để ngăn người dùng thay đổi cài đặt proxy server, bạn có thể dùng bài viết này.
Cấu hình cài đặt Proxy qua Registry và GPO
Ngoài ra, bạn có thể cấu hình cài đặt IE qua registry bằng chính sách GPP. Ví dụ, để bật proxy server, bạn cần cấu hình tham số registry sau trong khóa registry HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings. Trong trình soạn thảo GPO đi đến phần User Configuration -> Preferences -> Windows Settings -> Registry và tạo ba tham số registry dưới khóa registry đã chỉ định:
ProxyEnable(REG_DWORD) =00000001ProxyServer(REG_SZ) =192.168.0.11:3128ProxyOverride(REG_SZ) =https://*.woshub.com;192.168.*;10.1.*;*.contoso.com;<local>
Bạn cũng có thể dùng Item-level targeting ở đây để nhắm mục tiêu cài đặt chính sách cho người dùng/thiết bị cụ thể.
Nếu bạn cần tạo chính sách proxy không theo user, mà cho toàn bộ máy tính (per-computer), hãy dùng cài đặt GPP từ phần GPO Computer Configuration -> Preferences -> Windows Settings -> Registry. Đặt cùng các tham số registry dưới khóa registry HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings.
Thay đổi cài đặt WinHTTP Proxy qua GPO
Một số dịch vụ hệ thống hoặc ứng dụng (ví dụ: dịch vụ cập nhật Wususerv hoặc PowerShell) mặc định không dùng cài đặt proxy của người dùng. Để các ứng dụng này hoạt động đúng và truy cập Internet, bạn cần cấu hình cài đặt proxy WinHTTP trong Windows.
Để kiểm tra xem WinHTTP proxy đã được cấu hình trên máy tính của bạn chưa, chạy lệnh:
netsh winhttp show proxy
Câu trả lời "Direct access (no proxy server)" nghĩa là không có proxy được đặt.
Bạn có thể đặt proxy cho WinHTTP trên máy tính thủ công bằng lệnh:
netsh winhttp set proxy proxy.woshub.com:3128 "localhost;10.1.*;192.168.*;*.woshub.com"
Hoặc nhập cài đặt proxy từ cài đặt Internet Explorer của người dùng:
netsh winhttp import proxy source=ie
Tuy nhiên, bạn sẽ không thể cấu hình WinHTTP qua GPO – không có tham số tương ứng trong trình soạn thảo GPO, và tham số được lưu trong thuộc tính registry nhị phân không phù hợp để chỉnh sửa trực tiếp.
Cách duy nhất để đặt cài đặt WinHTTP proxy trên Windows qua GPO là cấu hình WinHTTP proxy trên máy tính tham chiếu, xuất giá trị tham số WinHttpSettings từ khóa registry HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections, và triển khai tham số này đến máy tính miền qua mở rộng registry GPP.