RDP verander die kliënt: waarom die databasis ’n ander gasheer sien

Jou VPN-reël weier die databasis en die kaartjie word as ’n firewallfout gesluit, terwyl dieselfde gebruiker ’n gepubliseerde lessenaar oopmaak en daardie databasis sonder moeite bevraag. Albei stellings is waar. Die lessenaar is ’n ander kliënt, met sy eie adres op ’n segment wat die reëls al vertrou, en sy eie identiteit wanneer dit verder verbind. Wat soos ’n teenstrydige reël lyk, is gewoonlik ’n tweede versoek wat niemand in die hersiening gesit het nie.

Die tweede versoek het sy eie kliëntadres

Wanneer ’n toepassing binne die sessie ’n verbinding na die databasis oopmaak, begin die TCP-handdruk by die sessiegasheer. Sy bronadres hoort by daardie gasheer se netwerk, dus evalueer elke roeteerder en databasis-firewall langs die pad die lessenaar se segment eerder as die tonnelpoel waar jou skootrekenaar vandaan kom. Die VPN-adres verskyn nooit in daardie stroom nie. Daarom kan ’n brongebaseerde weierreël terselfdertyd korrek en irrelevant wees.

Lees die oorsprong van binne die sessie eerder as van die skootrekenaar, en toets dan die verdere pad vanaf dieselfde plek. Die twee antwoorde behoort saam te stem oor watter gasheer die versoek maak.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Vergelyk wat die sessie rapporteer met die adres wat die databasis vir dieselfde tydstempel aangeteken het. Wanneer die bedienerlog die lessenaar se subnet wys in plaas van die tonnelpoel, hou die vraag op om te wees of die reël getref het en word dit watter gasheer die versoek gemaak het. Dit is ’n ander ondersoek met ’n ander eienaar.

Identiteit verander saam met adressering

Die verdere verbinding verifieer gewoonlik as die sessie se token, ’n gestoorde geloofsbrief of ’n toepassingsdiensrekening, en die hulpbron teken aan watter een daarvan dit ontvang het. ’n Ouditspoor wat ’n diensrekening op die databasis wys, bewys dus nie dat ’n mens die navraag uitgevoer het nie. Dit identifiseer ook nie die mens nie. Net die lessenaar se eie sessielog verbind daardie twee rekords.

Magtiging gebeur twee keer, en die tweede besluit word met ander insette geneem. Die eerste verleen ’n lessenaar-aanmelding vir ’n genoemde gebruiker, terwyl die tweede verleen wat daardie gebruiker se token of die toepassing se rekening aan die hulpbron kan doen. ’n Helpdeskgroep wat ’n lessenaar mag oopmaak, is nie outomaties ’n groep wat ’n klanttabel mag lees nie.

Kyk na die token en die delegasiepad voordat jy die toegangsnota skryf. Albei is sigbaar van binne die sessie, die enigste plek waar die antwoord nie ’n raaiskoot is nie.

whoami /groups
klist
query session

As die toepassing ’n diensrekening gebruik, is sy regte die wat stroomaf saak maak. Die rotering van daardie geloofsbrief hoort in die toegangshersiening, nie in ’n operasionele nagedagte nie.

Waarom die direkte pad steeds korrek geblokkeer word

Die weierreël is nie verkeerd net omdat die bestemming op ’n ander manier bereikbaar is nie. Segmentering word per bron geëvalueer, en die lessenaar sit op ’n segment wat toegelaat is lank voordat iemand dit as ’n roete na die databasis beskou het. Niks het die beleid omseil nie. Die beleid beskryf bloot twee verskillende bronne met twee verskillende uitkomste.

Wat die hersiening moet beantwoord, is wat elke gemagtigde sessie op daardie gasheer kan begin. Blaaiers met gestoorde sessies, gekarteerde skywe, agente wat geloofsbriewe hou en plaaslik luisterende dienste verleng almal die lessenaar se bereik, en nie een daarvan verskyn in die kaartjie wat die aanmelding verleen het nie. Daardie inventaris is die werklike toestemmingsoppervlak.

Lys dit van binne ’n toetssessie, nie uit ’n sigblad nie. ’n Handvol opdragte dek die meeste van die oppervlak.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Kies die grens doelbewus

Drie vorms pas by verskillende take, en die keuse moet die taak volg eerder as die instrument wat toevallig bestaan. ’n Gepubliseerde toepassing stel een program met sy eie toestemmings bloot, ’n volledige lessenaar stel alles bloot wat die gebruiker se profiel kan doen, en ’n beperkte databasisrekening met ’n bronbeperking stel een hulpbron bloot sonder enige lessenaar. Die nouste vorm wat die werk steeds voltooi, is die een om te dokumenteer. Enigiets wyer het ’n rede nodig wat daarnaas geskryf word.

Vir ’n enkele verslag is ’n gepubliseerde toepassing of ’n beperkte rekening ’n kleiner toestemming as ’n algemene lessenaar. Vir instandhouding wat werklik verskeie instrumente nodig het, mag die lessenaar reg wees, maar dan beskryf die goedkeuring die hele gasheer eerder as een toepassing. Vra die hulpbroneienaar waarmee hulle saamstem.

Databeweging is ’n aparte skakelaar. Knipbord, skyfaanstuur en aflaaie kan maatskappydata na die kliënt dra, en om ’n toepassing op afstand te laat loop, hou nie data op afstand nie.

Kontroleer albei goedkeurings en die verwyderingspad

Twee goedkeurings hoort in die rekord: die reg om die lessenaar te bereik en oop te maak, en die reg om hulpbronne van binne dit te gebruik. Noem ’n eienaar vir elkeen en hou die tweede sigbaar vir elkeen wat die hulpbron hersien. Daardie tweede inskrywing is die een waaroor ’n ouditeur sal vra, want dit beskryf bereik eerder as toegang. Skryf albei voordat die verandering goedgekeur word, nie na die eerste voorval nie.

Toets dan die verwydering, want ’n ontkoppelde sessie kan die rede daarvoor oorleef. Die sessietabel is die vinnigste plek om te sien wat nog loop.

query session
query user
qwinsta /server:rdsh01.corp.internal

Om die kliënt te ontkoppel, laat die afstandsessie loop, en sy netwerkverbindings en gekasde geloofsbriewe kan bruikbaar bly tot daardie sessie eindig. Meld af, of beëindig die sessie uitdruklik, en bevestig dat die stroomaf-teller daarna ophou vorder. ’n Verwyderingstoets wat net die skootrekenaar se deksel toeklap, bewys niks. Voer dieselfde toets een keer met die rekening gedeaktiveer en een keer met die lessenaartoestemming verwyder, en teken dan aan wat die hulpbron in elke geval gelog het.