通过域策略禁止有本地管理员权限的域用户更改网络配置

一、背景

因基础环境要求，当用户订购0带宽租户产品时，且租户AD和DNS是运行公网的，而我们需要防止用户通过网络配置窗口或cmd命令修改网络，从AD跳转访问公网，本文将对此简述如何配置实现。

二、实现过程

2.1、域控配置组策略限制特定受管客户机无法通过界面修改网络配置

这里我们用禁止服务的办法（但这会导致用户误解网络连接问题）。Network Connections服务管理“网络和拨号连接”文件夹中对象，在其中可以查看局域网和远程连接。如果停止该服务，用户将不能访问本地连接来更改IP地址。

如上图所示，配置Network Connections服务，开启不自动启动，改为手动；且只允许domain Admins组能够完全控制，其他所有人(everyone)只读。

完成后客户机上应用（gpupdate /force），这时可发现，右下角网卡图标显示红叉了，且网络服务显示灰色，不可操作状态：

2.2、禁止访问网络协议属性

导航到“用户配置”――“管理模板”――“网络”――“网络连接”，将“禁止访问LAN连接组件的属性”设置为“已启用”：