ในบทความก่อนหน้า เราแสดงวิธีกำหนดค่าการตั้งค่า Proxy ใน Windows ผ่าน GPO อย่างไรก็ตาม แม้ผู้ใช้ที่ไม่ใช่แอดมินก็สามารถเปลี่ยนการตั้งค่า Proxy บนคอมพิวเตอร์ของพวกเขาได้ด้วยตนเอง ในบทความนี้ เราจะดูวิธีป้องกันไม่ให้ผู้ใช้เปลี่ยนการตั้งค่าเซิร์ฟเวอร์ Proxy ใน Windows โดยใช้ Group Policy
หลังจากที่ผู้ดูแลระบบมอบหมายการตั้งค่าเซิร์ฟเวอร์ Proxy ให้ผู้ใช้ผ่าน GPO ผู้ใช้สามารถเปลี่ยนได้ตลอดเวลา ใน Windows 10 และ 11 คุณสามารถเปลี่ยนการตั้งค่า Proxy จาก Settings → Network and Internet → Proxy (ms-settings:network-proxy)
แม้การตั้งค่า Proxy จะถูกเขียนทับทุก 90 นาทีในรอบการรีเฟรช Group Policy บางครั้งคุณต้องการป้องกันผู้ใช้โดเมนอย่างสมบูรณ์ไม่ให้เปลี่ยนการตั้งค่า Proxy ที่ตั้งค่าผ่าน GPO
- เปิดคอนโซลจัดการ Group Policy ของโดเมน (
gpmc.msc) และแก้ไข GPO ที่มีการตั้งค่า Proxy - ไปที่ส่วน GPO ต่อไปนี้ User Configuration → Administrative Templates → Windows Components → Internet Explorer
- ค้นหา Prevent changing proxy settings และตั้งค่าเป็น Enabled มีนโยบายที่คล้ายกันในส่วน Computer Configuration ตัวเลือก GPO ในส่วนนี้จะอนุญาตให้คุณป้องกันการเปลี่ยนแปลงการตั้งค่า Proxy สำหรับผู้ใช้ทั้งหมดของคอมพิวเตอร์
- หลังจากอัปเดตนโยบายบนไคลเอ็นต์ หน้าการตั้งค่า Proxy ของ Windows จะแสดงข้อความ "
Some of these settings are hidden or managed by your organization" ในกรณีนี้ ช่องข้อความที่มีตัวเลือกเซิร์ฟเวอร์ Proxy จะไม่สามารถแก้ไขได้ (สีเทา)
นโยบายนี้ใช้ได้กับเบราว์เซอร์ทั้งหมดที่ใช้การตั้งค่า Proxy ของ Windows (Google Chrome, Microsoft Edge, Internet Explorer และ Mozilla Firefox ด้วยโหมด Use system proxy settings) ในทั้ง Windows 10 และ Windows 11
บน Windows 10/11 คุณสามารถซ่อนตัวเลือกการตั้งค่า Proxy บนแผง Settings ได้ เพื่อทำเช่นนี้ ให้เปิดใช้งานนโยบาย Settings Page Visibility ในส่วน User (หรือ Computer) Configuration → Administrative Templates → Control Panel
เพื่อซ่อนหน้าการตั้งค่า Proxy คุณต้องระบุข้อความต่อไปนี้ในการตั้งค่านโยบาย:
Hide:Network-Proxy
อัปเดตเทมเพลตการจัดการ Group Policy หากตัวเลือกนี้หายไปจากตัวแก้ไข GPO
แท็บที่มีการตั้งค่า Proxy ในแอป Settings จะถูกซ่อนหลังจากอัปเดตการตั้งค่านโยบายท้องถิ่น
คุณสามารถป้องกันการเปลี่ยนแปลงการตั้งค่า Proxy โดยใช้นโยบาย GPO ที่อธิบายข้างต้นหรือผ่านรีจิสทรี คุณสามารถทำการเปลี่ยนแปลงในรีจิสทรีผ่าน Group Policy Preferences (User Configuration → Preferences → Windows Settings → Registry) สร้างค่ารีจิสทรีใหม่ภายใต้ GPO ที่ระบุด้วยการตั้งค่าต่อไปนี้:
- Hive:
HKEY_CURRENT_USER - Key Path:
SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel - Value name:
Proxy - Value type:
REG_DWORD - Value data:
1
เพื่อป้องกันไม่ให้นโยบายล็อคการตั้งค่า Proxy ถูกนำไปใช้กับผู้ดูแลระบบคอมพิวเตอร์ท้องถิ่น คุณต้องกำหนดค่า Item-Level Targeting
เพื่อทำเช่นนี้ ให้ไปที่แท็บ Common ในตัวเลือกพารามิเตอร์รีจิสทรี เปิดใช้งานตัวเลือก Remove this item when it is no longer applied จากนั้นเปิดใช้งานตัวเลือก Item-Level Targeting และคลิกปุ่ม Targeting สร้างกฎใหม่: New Item → Security Group → Item option → Is not และระบุชื่อกลุ่มที่นโยบายนี้ไม่ควรนำไปใช้ ในตัวอย่างของเรา นี่คือกลุ่ม mun_admins ซึ่งถูกเพิ่มบนคอมพิวเตอร์ไปยังกลุ่มผู้ดูแลระบบท้องถิ่นผ่าน GPO
คุณยังสามารถป้องกันไม่ให้นโยบายนี้ถูกนำไปใช้กับกลุ่มเฉพาะโดยใช้ GPO security filtering เพิ่มกลุ่มที่ GPO ไม่ควรนำไปใช้บนแท็บ Delegation ในคอนโซลจัดการ Group Policy (เช่น mun_admin) และตั้งค่า Deny สำหรับกลุ่มเหล่านี้ในสิทธิ์ Apply Group Policy
โปรดทราบว่าผู้ใช้ที่มีสิทธิ์แอดมินท้องถิ่นยังคงสามารถแก้ไขการตั้งค่าเซิร์ฟเวอร์ Proxy โดยตรงในคีย์รีจิสทรี HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
ผู้ใช้ที่ไม่ใช่แอดมินก็สามารถรัน Registry Editor และเปลี่ยนการตั้งค่าในคีย์รีจิสทรีของพวกเขาโดยไม่อ้างอิง UAC prompt
เพื่อเปลี่ยนที่อยู่เซิร์ฟเวอร์ Proxy ให้แก้ไขค่าของรายการรีจิสทรี ProxyServer การตั้งค่า Proxy ที่ทำในคีย์รีจิสทีีนี้จะถูกนำไปใช้ใน Windows ทันที
