全局安全访问的已知限制

适用于 Windows 的全局安全访问客户端的已知限制包括：

安全域名系统 （DNS）

全局安全访问客户端目前在其不同版本中不支持安全 DNS，例如通过 HTTPS （DoH）、基于 TLS 的 DNS（DoT）或 DNS 安全扩展插件（DNSSEC）。 若要配置客户端以便它可以获取网络流量，必须禁用安全 DNS。 若要在浏览器中禁用 DNS，请参阅 浏览器中禁用的安全 DNS。

通过 TCP 的 DNS

DNS 使用端口 53 UDP 进行名称解析。 某些浏览器有自己的 DNS 客户端，也支持端口 53 TCP。 全球安全访问客户端目前不支持 DNS 端口 53 TCP。 作为缓解措施，通过设置以下注册表值来禁用浏览器的 DNS 客户端：

• Microsoft Edge
  [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
• 铬
  [HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
  另外，添加浏览功能 chrome://flags 并禁用 Async DNS resolver。

不支持组策略中的名称解析策略表规则

适用于 Windows 的全局安全访问客户端不支持组策略中的名称解析策略表 （NRPT） 规则。 为了支持专用 DNS，客户端在设备上配置本地 NRPT 规则。 这些规则会将相关的 DNS 查询重定向到专用 DNS。 如果在组策略中配置了 NRPT 规则，则它们将替代客户端配置的本地 NRPT 规则，专用 DNS 不起作用。

此外，在较旧版本的 Windows 中配置和删除的 NRPT 规则在 registry.pol 文件中创建了 NRPT 规则的空列表。 如果此组策略对象（GPO）应用于设备，则空列表将覆盖本地 NRPT 规则，专用 DNS 不起作用。

作为缓解措施：

1. 如果最终用户设备上存在注册表项 HKLM\Software\Policies\Microsoft\Windows NT\DNSClient\DnsPolicyConfig，请将 GPO 配置为应用 NRPT 规则。
2. 若要查找使用 NRPT 规则配置的 GPO，请执行以下操作：
   1. 在最终用户设备上运行 gpresult /h GPReport.html，并查找 NRPT 配置。
   2. 运行以下脚本，检测包含 NRPT 规则的 registry.pol 中所有 sysvol 文件的路径。

# =========================================================================
# THIS CODE-SAMPLE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND, EITHER 
# EXPRESSED OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE IMPLIED WARRANTIES 
# OF MERCHANTABILITY AND/OR FITNESS FOR A PARTICULAR PURPOSE.
#
# This sample is not supported under any Microsoft standard support program 
# or service. The code sample is provided AS IS without warranty of any kind. 
# Microsoft further disclaims all implied warranties including, without 
# limitation, any implied warranties of merchantability or of fitness for a 
# particular purpose. The entire risk arising out of the use or performance
# of the sample and documentation remains with you. In no event shall 
# Microsoft, its authors, or anyone else involved in the creation, 
# production, or delivery of the script be liable for any damages whatsoever 
# (including, without limitation, damages for loss of business profits, 
# business interruption, loss of business information, or other pecuniary 
# loss) arising out of  the use of or inability to use the sample or 
# documentation, even if Microsoft has been advised of the possibility of 
# such damages.
#========================================================================= 

# Define the sysvol share path.
# Change the sysvol path per your organization, for example: 
# $sysvolPath = "\\dc1.contoso.com\sysvol\contoso.com\Policies"
$sysvolPath = "\\<DC FQDN>\sysvol\<domain FQDN>\Policies"  ## Edit

# Define the search string.
$searchString = "dnspolicyconfig"

# Define the name of the file to search.
$fileName = "registry.pol"

# Get all the registry.pol files under the sysvol share.
$files = Get-ChildItem -Path $sysvolPath -Recurse -Filter $fileName -File

# Array to store paths of files that contain the search string.
$matchingFiles = @()

# Loop through each file and check if it contains the search string.
foreach ($file in $files) {
    try {
        # Read the content of the file.
        $content = Get-Content -Path $file.FullName -Encoding Unicode
        
        # Check if the content contains the search string.
        if ($content -like "*$searchString*") {
            $matchingFiles += $file.FullName
        }
    } catch {
        Write-Host "Failed to read file $($file.FullName): $_"
    }
}

# Output the matching file paths.
if ($matchingFiles.Count -eq 0) {
    Write-Host "No files containing '$searchString' were found."
} else {
    Write-Host "Files containing '$searchString':"
    $matchingFiles | ForEach-Object { Write-Host $_ }
}

3. 编辑在上一部分中找到的每个 GPO：
   1. 如果 NRPT 节为空，请创建新的虚构规则，更新策略，删除虚构规则，然后再次更新策略。 这些步骤从 DnsPolicyConfig 文件（在旧版 Windows 中创建）中删除 registry.pol。
   2. 如果 NRPT 节不为空且包含规则，请确认仍需要这些规则。 如果 不需要 这些规则，请将其删除。 如果需要规则并在具有全局安全访问客户端的设备上应用 GPO，则专用 DNS 选项不起作用。

连接回退

如果云服务出现连接错误，客户端会根据转发配置文件中匹配规则的 强化 值回退到直接 Internet 连接或阻止连接。

地理位置

对于隧道到云服务的网络流量，应用程序服务器（网站）会将连接的源 IP 检测为边缘的 IP 地址（而不是用户设备的 IP 地址）。 此方案可能会影响依赖于地理位置的服务。

虚拟化支持

无法在托管虚拟机的设备上安装全局安全访问客户端。 但是，只要客户端未安装在主机上，就可以在虚拟机上安装全局安全访问客户端。 因此，适用于 Linux 的 Windows 子系统（WSL）不会从安装在主机上的客户端获取流量。

Hyper-V 支持：

1. 外部虚拟交换机：全局安全访问 Windows 客户端当前不支持具有 Hyper-V 外部虚拟交换机的主机。 但是，可以将客户端安装在虚拟机上，以将流量隧道传送到全局安全访问。
2. 内部虚拟交换机：全局安全访问 Windows 客户端可以安装在主机和来宾计算机上。 客户端隧道仅传输其安装的计算机的网络流量。 换句话说，安装在主机上的客户端不会隧道传输来宾计算机的网络流量。

Global Secure Access Windows 客户端支持 Azure 虚拟机和 Azure 虚拟桌面（AVD）。

代理

如果在应用程序级别（例如浏览器）或 OS 级别配置代理，请配置代理自动配置 （PAC） 文件以排除你期望客户端隧道的所有 FQDN 和 IP。

若要防止特定 FQDN/IP 的 HTTP 请求通过隧道连接到代理，请将 FQDN/IP 作为例外添加到 PAC 文件。 （这些 FQDN/IP 位于用于隧道的全局安全访问的转发配置文件中）。 例如：

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

如果无法建立直接 Internet 连接，请将客户端配置为通过代理连接到 Global Secure Access 服务。 例如，将 grpc_proxy 系统变量设置为匹配代理的值，例如 http://proxy:8080。

若要应用配置更改，请重启全局安全访问客户端 Windows 服务。

数据包注入

客户端仅隧道使用套接字发送的流量。 它不会使用驱动程序（例如，网络映射器（Nmap）生成的一些流量）通过隧道将流量注入到网络堆栈。 注入的数据包直接转到网络。

多会话

全局安全访问客户端不支持同一计算机上的并发会话。 此限制适用于为多会话配置的远程桌面协议（RDP）服务器和虚拟桌面基础结构（VDI）解决方案，例如 Azure 虚拟桌面（AVD）。

Internet 访问不支持 QUIC

由于 Internet 访问尚不支持 QUIC，因此无法对端口 80 UDP 和 443 UDP 的流量进行隧道传输。

管理员可以禁用 QUIC 协议，触发客户端通过 TCP 回退到 HTTPS，这是 Internet 访问中完全支持的。 有关详细信息，请参阅 Internet 访问不支持 QUIC。

WSL 2 连接

在主机上启用适用于 Windows 的全局安全访问客户端时，可能会阻止来自适用于 Linux 的 Windows 子系统 （WSL） 2 环境的传出连接。 为了解决这个问题，可以创建一个 .wslconfig 将dnstunneling设置为 false的文件。 这样，来自 WSL 的所有流量都会绕过全局安全访问并直接转到网络。 有关详细信息，请参阅 WSL中的 高级设置配置。

适用于 macOS 的全局安全访问客户端的已知限制包括：

安全域名系统 （DNS）

如果在浏览器或 macOS 中启用了安全 DNS，并且 DNS 服务器支持安全 DNS，则客户端不会通过 FQDN 设置的流量隧道。 （IP 获取的网络流量不会受到影响，并且根据转发配置文件进行隧道传输。若要缓解安全 DNS 问题，请禁用安全 DNS、设置不支持安全 DNS 的 DNS 服务器，或基于 IP 创建规则。

连接回退

如果云服务出现连接错误，客户端会根据转发配置文件中匹配规则的 强化 值回退到直接 Internet 连接或阻止连接。

源 IP 地址的地理位置

对于隧道到云服务的网络流量，应用程序服务器（网站）会将连接的源 IP 检测为边缘的 IP 地址（而不是用户设备的 IP 地址）。 此方案可能会影响依赖于地理位置的服务。

UTM 的虚拟化支持

• 如果网络处于 桥接 模式，并且全局安全访问客户端安装在主机上：
  • 如果全局安全访问客户端安装在虚拟机上，则虚拟机的网络流量受其本地策略的约束。 主机的策略不会影响虚拟机上的转发配置文件。
  • 如果未在虚拟机上安装全局安全访问客户端 ，则会绕过虚拟机的网络流量。
• 全局安全访问客户端不支持网络 共享 模式，因为它可能会阻止虚拟机的网络流量。
• 如果网络处于 共享 模式，则可以在运行 macOS 的虚拟机上安装全局安全访问客户端，前提是客户端未安装在主机上。

Internet 访问不支持 QUIC

由于 Internet 访问尚不支持 QUIC，因此无法对端口 80 UDP 和 443 UDP 的流量进行隧道传输。

适用于 Android 的全局安全访问客户端的已知限制包括：

• 当前不支持运行 Android（Go 版） 的移动设备。
• 目前不支持在共享设备上Microsoft Android 上的 Defender for Endpoint 。
• 必须在设备上禁用专用域名系统（DNS）。 通常可以在系统 > 网络和 Internet 中找到此设置。
• 将非Microsoft Endpoint Protection 产品与 Microsoft Defender for Endpoint 一起使用可能会导致性能问题和不可预知的系统错误。
• 目前不支持与 Microsoft Tunnel 共存的全局安全访问。 有关详细信息，请参阅 Intune中Microsoft隧道的 先决条件。

适用于 iOS 的全局安全访问客户端的已知限制包括：

• 不支持隧道快速用户数据报协议（UDP）Internet 连接（QUIC）流量（Exchange Online 除外）。
• 目前不支持与 Microsoft Tunnel 共存的全局安全访问。 有关详细信息，请参阅 Intune中Microsoft隧道的 先决条件。
• 不支持强制网络门户。
• 不支持合规的网络检查强制实施。
• 内存泄漏可能会导致内存使用量逐渐增加。 这种增加的内存使用率可能会导致偶尔重启 VPN，但对用户体验的影响很小。
• 流媒体播放高质量视频可能会导致暂停。