EP04. "策略改了没生效？先别怀疑设置错了，跑这两个命令看一眼"

• 这篇讲两个组策略排查命令——gpupdate 和 gpresult，呼应 Section 8 讲过的 Group Policy 概念，是排查"策略明明改了、客户端却没反应"这类工单的关键工具；再快速复习一遍网络诊断命令（EP10 已经详细讲过 ipconfig/ping/nslookup/tracert/netstat 的基础用法，这里补几个进阶参数）。
• 学完能做到：手动强制刷新组策略而不用干等自动周期，也能查出一台机器目前实际生效的完整策略清单。

重点内容

强制刷新组策略：gpupdate

gpupdate 刷新组策略（有变化的部分才会重新套用）
gpupdate /force 强制重新套用全部策略，不管有没有变化
gpupdate /target:user 只刷新"用户"层级的策略（组策略分计算机层级和用户层级两种）
gpupdate /wait:0 把默认等待策略处理完成的时间（默认 600 秒）改成 0，不用等

• 平常改完一条组策略，域控制器和客户端之间要等自动同步周期才会生效——不想干等，直接在客户端跑 gpupdate /force 立刻强制套用，这条命令在 Section 8 的 GPO 实战里已经反复用过。
• /target:user 这个参数容易被忽略：策略分计算机策略（跟这台机器绑定，谁登录都生效）和用户策略（跟账户绑定，这个人在哪台机器登录都生效）两种，只想刷新其中一种时可以指定，不用两种都跑一遍。

查看目前实际生效的策略：gpresult

gpresult /r 显示当前用户和计算机的策略生效摘要

输出内容包含这台机器/这个账户目前实际套用了哪些策略、隶属于哪些安全群组——组策略可能有好几条同时套用、彼此还可能有重叠或冲突，gpresult 会计算出"考虑了所有重叠情况之后，最终实际生效的结果"，不是把所有条目原始堆在一起。

[截图：CMD 窗口执行 gpresult /r 后显示当前用户和计算机策略生效摘要的输出画面]

网络诊断命令：快速复习 + 补充

EP10 已经详细讲过 ipconfig、ping、nslookup、tracert、netstat 这几个网络排查命令的基础用法和排查顺序，这里不重复，只补充几个实际排查时常被忽略的细节：

• ipconfig /all 除了本机 IP，也能看到目前是从哪台 DHCP 服务器、哪台 DNS 服务器 拿到的配置——怀疑网络问题出在"DHCP/DNS 服务器本身"而不是本机设置时，先从这里确认服务器地址对不对。
• tracert 除了看"卡在哪一跳"，也能用来大致判断某个服务器的物理距离——跳数（Hop）越多，通常代表网络路径越长、延迟也可能越高，可以作为"这个连接速度慢是不是天生路径就长"的辅助判断依据，不是决定性证据，但能提供参考方向。
• netstat -ano 除了看有哪些连接和端口，-o 参数会同时列出每个连接对应的 PID（进程 ID）——查到一个可疑的网络连接，配合 EP01 讲的 tasklist/taskkill，可以直接顺藤摸瓜找到是哪个进程在搞鬼，甚至直接结束它。

常见误区 / 踩坑提醒

• 策略改了没生效，第一反应是回去检查设置内容——先跑 gpupdate /force 确认是不是单纯还没刷新到客户端，再跑 gpresult /r 确认这台机器到底套用了哪些策略，排查顺序应该从"有没有套用"开始，而不是一上来就怀疑设置本身错了。
• 只刷新了计算机层级策略，却忘记同时刷新用户层级（或反过来）——两者是分开的，gpupdate /force 默认两者都刷新，但用 /target 指定范围时要想清楚这次改的策略到底是哪个层级。
• 排查慢速网络连接时只看 ping 的延迟数字，没想到用 tracert 看整体路径——单看延迟数字有时看不出问题出在近端还是远端，tracert 能看出问题具体卡在路径上的哪一段。

Sources

Udemy（课程 transcript）：

1. IT Support Technical Skills Bootcamp — Section 15, Lecture 122（组策略排查命令 gpupdate、gpresult / 网络诊断命令进阶用法补充）