Group Policy proxy: Đẩy cấu hình proxy cho cả công ty
Group Policy proxy là cách quản trị viên Windows đặt cấu hình proxy cho hàng chục, hàng trăm máy trong miền cùng lúc bằng Group Policy, thay vì đi từng máy cài tay. Khi chính sách được áp dụng, người dùng mở cài đặt proxy sẽ thấy các ô bị khoá và dòng chữ một số cài đặt do tổ chức quản lý. Bài này ProxyVN hướng dẫn quản trị viên đặt proxy qua Group Policy Preferences, khoá không cho người dùng đổi, đặt proxy cho dịch vụ hệ thống WinHTTP, triển khai tệp PAC, đặt chính sách proxy cho Chrome và Edge, kiểm tra chính sách đã áp dụng, và giải thích cho người dùng dòng do tổ chức quản lý nghĩa là gì. Bài viết cho quản trị viên mạng doanh nghiệp, người dùng cá nhân cài proxy trên máy mình nên xem bài hướng dẫn cài proxy Windows. Xem thêm dịch vụ tại ProxyVN.
Tổng quan về Group Policy và proxy
Group Policy là gì
Group Policy là cơ chế quản lý cấu hình tập trung của Windows trong môi trường Active Directory. Quản trị viên tạo đối tượng chính sách (GPO), gắn vào miền hoặc đơn vị tổ chức (OU), máy và người dùng trong đó tự nhận cấu hình khi khởi động, đăng nhập và định kỳ.
Vì sao quản lý proxy bằng Group Policy
- Mọi máy dùng cùng một proxy, cùng danh sách ngoại lệ.
- Đổi proxy một lần ở GPO, mọi máy tự cập nhật.
- Ngăn người dùng tắt proxy để vượt chính sách lọc web.
- Máy mới gia nhập miền tự nhận cấu hình, không phải cài tay.
Các nơi proxy cần đặt trên Windows
Nơi lưu |
Ai dùng |
Cách đặt bằng chính sách |
|---|---|---|
Cấu hình người dùng (WinINET) |
Trình duyệt, Office, phần lớn ứng dụng |
Group Policy Preferences, Internet Settings hoặc Registry |
WinHTTP |
Dịch vụ hệ thống, Windows Update, một số ứng dụng chạy nền |
netsh qua kịch bản khởi động hoặc nhập từ cấu hình người dùng |
Chính sách trình duyệt |
Chrome, Edge khi được quản lý |
Mẫu quản trị của Chrome, Edge |
Cách proxy cá nhân hoạt động trên Windows có trong bài cài proxy trên Windows 11.
Đặt proxy bằng Group Policy Preferences
Cây chính sách trong bảng quản lý
Dùng mục Internet Settings
- Mở Group Policy Management, tạo GPO mới, ví dụ "Proxy cong ty", gắn vào OU chứa người dùng.
- Chuột phải, Edit.
- Vào User Configuration, Preferences, Control Panel Settings, Internet Settings.
- Chuột phải, New, chọn Internet Explorer 10 (áp dụng cho Internet Explorer 10, 11 và cấu hình WinINET dùng chung).
- Thẻ Connections, LAN settings: nhập địa chỉ proxy, cổng, danh sách bỏ qua, hoặc địa chỉ tệp PAC.
Trong giao diện này, các ô có gạch chân đỏ là chưa được áp dụng. Nhấn F5 để bật toàn bộ ô trên thẻ hiện tại, F8 để bật ô đang chọn. Không bật, cấu hình sẽ không được ghi xuống máy dù đã nhập. Đây là lỗi hay gặp nhất khi dùng mục này.
Dùng Registry Preferences
Internet Explorer đã ngừng hỗ trợ, nhưng các khoá Registry của WinINET vẫn được Windows và ứng dụng dùng. Đặt trực tiếp bằng User Configuration, Preferences, Windows Settings, Registry, nhánh HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings:
Giá trị |
Kiểu |
Ví dụ |
Ý nghĩa |
|---|---|---|---|
ProxyEnable |
REG_DWORD |
1 |
Bật proxy thủ công |
ProxyServer |
REG_SZ |
10.0.0.5:3128 |
Địa chỉ proxy |
ProxyOverride |
REG_SZ |
*.noibo.local;10.*;<local> |
Danh sách bỏ qua |
AutoConfigURL |
REG_SZ |
http://wpad.noibo.local/proxy.pac |
Địa chỉ tệp PAC |
Cách này rõ ràng, dễ kiểm tra, không phụ thuộc giao diện Internet Explorer.
Chính sách theo máy thay vì theo người dùng
Mặc định cấu hình proxy WinINET là theo từng người dùng. Chính sách Make proxy settings per-machine (trong Computer Configuration, Administrative Templates, Windows Components, Internet Explorer) chuyển sang theo máy, mọi người dùng trên máy dùng chung một cấu hình. Hợp cho máy dùng chung như máy quầy, máy phòng họp.
Khoá không cho người dùng đổi proxy
Khoá không cho người dùng đổi proxy
Chính sách khoá
Trong User Configuration, Administrative Templates, Windows Components, Internet Explorer, chính sách Prevent changing proxy settings ngăn người dùng sửa proxy trong cài đặt. Khi bật, trang cài đặt proxy của Windows hiện các ô bị làm mờ.
Người dùng thấy gì
Mở Settings, Network & Internet, Proxy, người dùng thấy dòng một số cài đặt do tổ chức của bạn quản lý (Some settings are managed by your organization). Các nút bật tắt bị khoá. Đây là hành vi đúng, không phải lỗi. Người dùng cá nhân thấy dòng này trên máy riêng mà không thuộc công ty nào thì nên kiểm tra phần mềm lạ, có thể phần mềm đã tự đặt chính sách. Lỗi ghi cấu hình proxy trên máy cá nhân có bài riêng là lỗi error writing proxy settings.
Giới hạn của việc khoá
Khoá cài đặt Windows không ngăn được ứng dụng tự cấu hình proxy riêng, không ngăn được người dùng có quyền quản trị máy gỡ chính sách. Kết hợp với tường lửa chỉ cho máy trạm ra Internet qua proxy, đây mới là cách kiểm soát thật sự.
Đặt proxy cho WinHTTP
Hai nơi lưu cấu hình proxy của Windows
Vì sao cần
Dịch vụ hệ thống như Windows Update, một số tác nhân quản lý, dịch vụ chạy dưới tài khoản hệ thống không đọc cấu hình proxy của người dùng mà đọc WinHTTP. Mạng chỉ cho ra Internet qua proxy mà WinHTTP chưa đặt thì các dịch vụ này lỗi kết nối, trong khi trình duyệt vẫn chạy bình thường.
Lệnh netsh
netsh winhttp set proxy proxy-server="10.0.0.5:3128" bypass-list="*.noibo.local;<local>"
netsh winhttp show proxy
netsh winhttp reset proxyTài liệu các lệnh có trong trang lệnh netsh winhttp của Microsoft.
Triển khai bằng GPO
Đưa lệnh netsh vào kịch bản khởi động máy (Computer Configuration, Policies, Windows Settings, Scripts, Startup), chạy dưới quyền hệ thống. Hoặc dùng Registry Preferences ghi trực tiếp giá trị WinHttpSettings, tuy nhiên giá trị này ở dạng nhị phân, kịch bản netsh dễ đọc và dễ sửa hơn.
Nhập từ cấu hình người dùng
netsh winhttp import proxy source=ieLệnh chép cấu hình người dùng sang WinHTTP. Chỉ đúng khi chạy dưới tài khoản người dùng có cấu hình chuẩn, nên ít dùng trong kịch bản khởi động.
Triển khai tệp PAC và WPAD qua chính sách
Đặt địa chỉ PAC
Thay vì proxy cố định, đặt AutoConfigURL trỏ tới tệp PAC trên máy chủ nội bộ. Tệp PAC quyết định từng địa chỉ đi qua proxy nào hay đi thẳng. Đổi quy tắc chỉ cần sửa tệp PAC, không phải sửa GPO. Kiến thức về PAC có trong bài PAC proxy.
Tự động phát hiện WPAD
Bật tuỳ chọn tự động phát hiện cài đặt, máy tự tìm tệp PAC qua DNS hoặc DHCP theo giao thức WPAD. Tiện nhưng có rủi ro nếu kẻ xấu trong mạng giả máy chủ WPAD. Chi tiết trong bài Web Proxy Auto-Discovery.
Khuyến nghị
Với doanh nghiệp, đặt địa chỉ PAC cụ thể qua chính sách an toàn và dễ đoán hơn tự động phát hiện. Đặt máy chủ PAC có tính sẵn sàng cao, vì máy không tải được PAC có thể mất mạng.
Chính sách proxy cho Chrome và Edge
Chrome
Chrome đọc proxy hệ thống theo mặc định. Khi cần kiểm soát riêng, dùng mẫu quản trị của Chrome, chính sách ProxySettings (hoặc các chính sách cũ ProxyMode, ProxyServer, ProxyPacUrl, ProxyBypassList). Ví dụ giá trị ProxySettings dạng JSON:
{"ProxyMode": "pac_script", "ProxyPacUrl": "http://wpad.noibo.local/proxy.pac"}Mô tả chính sách có tại trang chính sách Chrome Enterprise.
Edge
Edge có bộ chính sách proxy tương tự Chrome. Tải mẫu quản trị Edge, đặt trong Computer Configuration hoặc User Configuration, Administrative Templates, Microsoft Edge, Proxy server. Danh sách chính sách có trong tài liệu chính sách Microsoft Edge.
Khi nào cần chính sách trình duyệt riêng
Nếu proxy hệ thống đã đặt bằng GPO, Chrome và Edge đi theo, không cần chính sách riêng. Đặt chính sách trình duyệt khi muốn trình duyệt dùng proxy khác hệ thống, hoặc khoá không cho tiện ích thay đổi proxy. Người dùng mở chrome://policy để xem chính sách đang áp dụng.
Kiểm tra chính sách đã áp dụng
Kiểm tra chính sách đã áp dụng
Trên máy trạm
gpupdate /force
gpresult /r
gpresult /h baocao.htmlgpupdate buộc máy lấy chính sách mới. gpresult cho biết GPO nào đã áp dụng cho máy và người dùng. Báo cáo HTML chi tiết từng cài đặt.
Kiểm tra giá trị thực tế
- Registry: xem nhánh Internet Settings của người dùng.
- WinHTTP: netsh winhttp show proxy.
- Trình duyệt: chrome://policy, edge://policy, chrome://net-internals/#proxy.
Công cụ mô phỏng
Group Policy Modeling trong Group Policy Management mô phỏng chính sách nào sẽ áp dụng cho một người dùng trên một máy, giúp kiểm tra trước khi triển khai.
Lập kế hoạch trước khi đẩy proxy bằng GPO
Xác định phạm vi
Trước khi tạo GPO, trả lời mấy câu: máy nào cần proxy, người dùng nào được miễn, máy chủ có cần proxy không, máy xách tay đi ra ngoài thì sao. Gắn GPO vào đúng OU, dùng lọc bảo mật hoặc lọc WMI để loại trừ máy chủ, máy đặc biệt. GPO gắn ở mức miền áp dụng cho cả máy chủ điều khiển miền, thường không mong muốn.
Danh sách bỏ qua
Liệt kê mọi tên miền, dải IP nội bộ cần đi thẳng: hệ thống nội bộ, máy in, máy chủ tệp, công cụ giám sát, địa chỉ quản trị thiết bị mạng. Thiếu một mục, người dùng sẽ báo hệ thống nội bộ chậm hoặc không vào được. Thêm <local> để mọi tên máy không có dấu chấm đi thẳng.
Dịch vụ đám mây cần tối ưu
Microsoft 365, Teams, công cụ họp trực tuyến khuyến nghị lưu lượng media đi thẳng, không qua proxy. Đưa các tên miền này vào tệp PAC trả về DIRECT, hoặc vào danh sách bỏ qua. Chi tiết về Microsoft 365 có trong tài liệu của Microsoft về nguyên tắc kết nối mạng.
Kế hoạch quay lại
Chuẩn bị sẵn cách gỡ: tắt liên kết GPO, hoặc GPO thứ hai đặt proxy về trạng thái cũ. Khi có sự cố trên diện rộng, quay lại trong vài phút thay vì sửa từng máy.
Thứ tự áp dụng và xung đột chính sách
Thứ tự LSDOU
Chính sách áp dụng theo thứ tự: máy cục bộ, site, miền, rồi OU từ ngoài vào trong. Chính sách áp dụng sau ghi đè chính sách trước nếu cùng cài đặt. Hai GPO cùng đặt proxy ở hai mức khác nhau, GPO ở OU gần người dùng nhất thắng.
Thực thi và chặn kế thừa
GPO đánh dấu thực thi (Enforced) không bị GPO cấp dưới ghi đè. OU bật chặn kế thừa (Block Inheritance) không nhận GPO cấp trên, trừ GPO thực thi. Khi proxy trên một nhóm máy khác với dự kiến, kiểm tra hai thiết lập này.
Xung đột giữa Preferences và Administrative Templates
Preferences ghi giá trị vào Registry, người dùng có thể sửa lại nếu không khoá, và sẽ bị ghi đè ở lần làm mới chính sách sau. Administrative Templates là chính sách thật, người dùng không sửa được. Dùng Preferences để đặt giá trị, Administrative Templates để khoá.
Chế độ áp dụng của Preferences
Mỗi mục Preferences có chế độ Create, Replace, Update, Delete. Replace xoá rồi tạo lại mỗi lần làm mới, Update chỉ sửa giá trị có thay đổi. Với proxy, Update thường đủ. Tài liệu tổng quan về Group Policy Preferences có trong trang tài liệu Microsoft về Group Policy).
Proxy cho máy chủ trong miền
Máy chủ cũng cần ra Internet
Máy chủ cần tải bản cập nhật, gửi dữ liệu giám sát lên dịch vụ đám mây, kích hoạt giấy phép phần mềm. Phần lớn dịch vụ trên máy chủ chạy dưới tài khoản hệ thống, dùng WinHTTP. Đặt WinHTTP cho máy chủ bằng kịch bản khởi động trong GPO riêng cho OU máy chủ.
Không đặt proxy người dùng cho máy chủ
Quản trị viên đăng nhập máy chủ không cần duyệt web. Không áp dụng GPO proxy người dùng cho máy chủ để tránh các công cụ quản trị đi qua proxy không cần thiết. Dùng lọc bảo mật hoặc chính sách xử lý vòng lặp (loopback) có kiểm soát.
Ứng dụng có cấu hình proxy riêng
Một số phần mềm máy chủ như phần mềm sao lưu, tác nhân bảo mật có ô cấu hình proxy riêng trong phần mềm, không đọc WinHTTP. Kiểm tra tài liệu từng phần mềm và cấu hình bằng công cụ quản lý của chính phần mềm đó.
Giải thích cho người dùng cuối
Thông báo nội bộ
Trước khi khoá cài đặt proxy, gửi thông báo cho nhân viên: từ ngày nào, máy sẽ đi Internet qua proxy công ty, cài đặt proxy bị khoá, gặp vấn đề liên hệ ai. Người dùng biết trước sẽ ít hoảng khi thấy dòng do tổ chức quản lý.
Hướng dẫn tự kiểm tra
Cung cấp vài bước người dùng tự làm khi mạng lỗi: chạy gpupdate /force, khởi động lại máy, thử trang nội bộ, chụp lỗi gửi bộ phận hỗ trợ. Nhiều lỗi tự hết sau khi làm mới chính sách.
Ngoại lệ có kiểm soát
Có bộ phận cần ngoại lệ, ví dụ đội phát triển cần đi thẳng tới kho mã, đội kiểm thử cần proxy riêng theo vùng. Tạo GPO riêng cho nhóm này, ghi rõ lý do, thời hạn, người phê duyệt. Không cấp quyền quản trị máy chỉ để họ tự đổi proxy.
Intune và công cụ quản lý hiện đại
Máy không gia nhập miền
Nhiều công ty chuyển sang máy gia nhập Microsoft Entra ID, quản lý bằng Intune thay cho Group Policy truyền thống. Intune có hồ sơ cấu hình cho proxy hệ thống, hoặc dùng mẫu quản trị tương đương các chính sách Group Policy. Nguyên tắc vẫn giống: đặt proxy người dùng, đặt WinHTTP, khoá thay đổi, tính tới máy làm việc ngoài văn phòng.
Kết hợp hai cách
Công ty đang chuyển đổi có thể có máy quản lý bằng GPO, máy quản lý bằng Intune. Tránh để một máy nhận cấu hình proxy từ cả hai nguồn với giá trị khác nhau, kết quả sẽ khó đoán. Chọn một nguồn cho mỗi nhóm máy.
Proxy đám mây
Nhiều doanh nghiệp thay proxy đặt tại văn phòng bằng dịch vụ cổng web an toàn trên đám mây, máy cài tác nhân để chuyển lưu lượng tới dịch vụ đó. Khi đó GPO không đặt proxy thủ công nữa, mà triển khai tác nhân và tệp PAC của dịch vụ. Cấu hình chi tiết theo hướng dẫn của nhà cung cấp dịch vụ.
Ghi chép và kiểm toán cấu hình proxy
Lưu lại mọi thay đổi GPO liên quan tới proxy: ngày, người sửa, nội dung, lý do. Group Policy Management không tự giữ lịch sử phiên bản, nên sao lưu GPO trước mỗi lần sửa bằng chức năng Back Up. Khi người dùng báo mạng chậm từ một ngày cụ thể, đối chiếu với lịch sử thay đổi là tìm ra nguyên nhân nhanh nhất.
Proxy cho các ứng dụng không theo cấu hình Windows
Ứng dụng Java
Ứng dụng Java mặc định không đọc proxy Windows. Một số ứng dụng có tham số dùng proxy hệ thống, số khác cần đặt thuộc tính proxy khi khởi chạy. Liệt kê ứng dụng Java trong công ty, cấu hình từng cái qua tệp cấu hình triển khai bằng GPO hoặc công cụ phân phối phần mềm.
Công cụ dòng lệnh
Git, Python, Node.js, công cụ đám mây đọc biến môi trường HTTP_PROXY, HTTPS_PROXY, NO_PROXY. Đặt biến môi trường hệ thống bằng Environment Preferences trong GPO (Computer Configuration hoặc User Configuration, Preferences, Windows Settings, Environment). Đội phát triển sẽ đỡ phải tự cấu hình từng công cụ.
Firefox
Firefox có kho chứng chỉ và cấu hình mạng riêng. Firefox mặc định dùng proxy hệ thống, nhưng người dùng có thể đổi. Firefox có mẫu chính sách riêng cho doanh nghiệp, khoá cấu hình proxy giống Chrome, Edge.
Ứng dụng có ô proxy riêng
Phần mềm kế toán, phần mềm chat, công cụ đồng bộ có ô proxy trong phần cài đặt. Phần lớn có tuỳ chọn dùng proxy hệ thống, đặt tuỳ chọn đó khi cài đặt hàng loạt để ứng dụng đi theo GPO.
Thời gian để chính sách có hiệu lực
Máy trạm làm mới chính sách khoảng 90 phút một lần, cộng thêm thời gian ngẫu nhiên tới 30 phút để không phải mọi máy cùng hỏi máy chủ điều khiển miền một lúc. Chính sách người dùng áp dụng lúc đăng nhập, chính sách máy áp dụng lúc khởi động. Sửa GPO xong, đừng lo khi vài máy chưa nhận ngay. Cần gấp thì chạy gpupdate /force trên máy hoặc dùng chức năng làm mới từ xa trong Group Policy Management cho cả OU.
Lỗi thường gặp khi đẩy proxy bằng GPO
Hiện tượng |
Nguyên nhân hay gặp |
Cách xử lý |
|---|---|---|
Cấu hình không xuống máy |
Ô trong Internet Settings chưa gạch chân xanh |
Nhấn F5, F8 để bật ô |
Trình duyệt chạy, Windows Update lỗi |
Chưa đặt WinHTTP |
Đặt WinHTTP bằng kịch bản khởi động |
Mạng nội bộ đi qua proxy, chậm |
Thiếu danh sách bỏ qua |
Thêm tên miền nội bộ và <local> |
Người dùng vẫn đổi được proxy |
Chưa bật chính sách khoá |
Bật Prevent changing proxy settings |
Máy xách tay ở nhà mất mạng |
Proxy công ty không truy cập được từ ngoài |
Dùng PAC trả DIRECT khi ngoài mạng công ty |
GPO không áp dụng |
Sai OU, lọc bảo mật, chính sách xung đột |
Xem gpresult, Group Policy Modeling |
Máy xách tay làm việc từ xa
Vấn đề
Máy xách tay nhận proxy công ty qua GPO, mang về nhà, proxy nội bộ không truy cập được, mọi trang đều lỗi. Người dùng không tắt được vì cài đặt bị khoá.
Giải pháp bằng PAC
Viết tệp PAC kiểm tra máy có đang trong mạng công ty không, ví dụ phân giải được tên máy chủ nội bộ hay IP máy thuộc dải nội bộ, trả về DIRECT khi ở ngoài. Tệp PAC phải đặt ở nơi tải được từ ngoài, hoặc máy dùng bản lưu đệm.
Giải pháp bằng VPN
Máy làm việc từ xa luôn kết nối VPN về công ty, proxy nội bộ truy cập được qua VPN. Cách này kiểm soát chặt nhưng tăng tải cho đường truyền công ty.
Ví dụ: chuyển proxy mới cho 300 máy
Một công ty 300 máy chuyển từ proxy cũ sang proxy mới có địa chỉ khác. Proxy cũ đặt bằng địa chỉ cố định trong GPO.
Cách làm
- Dựng tệp PAC trên máy chủ nội bộ, trả về proxy mới cho mọi địa chỉ ngoài, DIRECT cho nội bộ.
- Sửa GPO: bỏ ProxyServer cố định, đặt AutoConfigURL trỏ tới tệp PAC.
- Cập nhật kịch bản khởi động đặt WinHTTP theo proxy mới.
- Áp dụng thử cho một OU nhỏ 10 máy, kiểm tra một ngày.
- Mở rộng cho toàn công ty, giữ proxy cũ chạy song song một tuần.
Kết quả
Chuyển đổi không gián đoạn. Lần đổi proxy sau chỉ cần sửa tệp PAC, không phải đụng tới GPO.
Proxy bên ngoài cho văn phòng nhỏ không có miền
Văn phòng nhỏ không có Active Directory thì không dùng Group Policy được. Có thể đặt proxy bằng Local Group Policy trên từng máy, công cụ quản lý thiết bị đám mây, hoặc tệp PAC trên bộ định tuyến. Khi cần IP ra ngoài cố định cho cả văn phòng, proxy IP tĩnh là lựa chọn đơn giản. Anh em cần proxy IP Việt Nam tĩnh ổn định có thể mua proxy tại ProxyVN. Cách tắt proxy khi cần gỡ lỗi trên từng máy có trong bài hướng dẫn tắt proxy trên Windows.
Câu hỏi thường gặp về Group Policy proxy
Đặt proxy bằng Group Policy ở đâu
User Configuration, Preferences, Control Panel Settings, Internet Settings, hoặc Registry Preferences cho nhánh Internet Settings.
Vì sao cấu hình trong Internet Settings không áp dụng
Các ô chưa được bật (gạch chân đỏ). Nhấn F5 hoặc F8 để bật.
Khoá không cho người dùng đổi proxy thế nào
Bật chính sách Prevent changing proxy settings trong mẫu quản trị Internet Explorer.
Windows Update không chạy sau khi đặt proxy
WinHTTP chưa có proxy. Đặt bằng netsh winhttp trong kịch bản khởi động.
Dòng do tổ chức quản lý trên máy cá nhân nghĩa là gì
Có chính sách được đặt trên máy, có thể do phần mềm. Kiểm tra bằng gpresult và chrome://policy, quét phần mềm lạ.
Chrome có theo proxy GPO không
Có, nếu không có chính sách proxy riêng cho Chrome, Chrome theo proxy hệ thống.
Tổng kết
Group Policy proxy giúp quản trị viên đặt proxy cho mọi máy trong miền: dùng Internet Settings hoặc Registry Preferences cho cấu hình người dùng, nhớ bật ô bằng F5, F8; khoá bằng Prevent changing proxy settings; đặt WinHTTP bằng netsh trong kịch bản khởi động để dịch vụ hệ thống đi qua proxy; ưu tiên tệp PAC để đổi quy tắc mà không phải sửa GPO; dùng chính sách ProxySettings khi cần kiểm soát Chrome, Edge riêng. Kiểm tra bằng gpresult, netsh winhttp show proxy, chrome://policy, và tính tới máy xách tay làm việc từ xa. Cần tư vấn về proxy, anh em liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn.
