الوصول إلى VPN دون حقوق سطح المكتب البعيد: أربع بوابات منفصلة

يتصل مستخدم بـ VPN، ويفتح مشاركة ملفات وتطبيقًا داخليًا، ثم يعيد محاولة RDP الرسالة «حساب المستخدم غير مصرح له بتسجيل الدخول عن بُعد». لا يوجد خطأ في النفق بحسب تلك الرسالة. تقف أربع بوابات مستقلة بين حساب VPN وسطح مكتب تفاعلي، ولم تُنتج الرسالة إلا البوابة الأخيرة. عادةً يضيف الناس الحساب إلى Administrators، وهذا يمنح أكثر بكثير من سطح المكتب ولا يصلح البوابة إذا رفضتها نهج المجموعة. فيما يلي ما تفعله كل بوابة فعليًا، وكيف تغيّر فقط البوابة التي ترفض.

أربع بوابات في ترتيب ثابت

تقرر البوابة أولًا ما إذا كان يجوز للهوية إنشاء نفق أصلًا: سياسة RADIUS، أو شرط مجموعة، أو فحص شهادة، أو إذن في Access Server. ثم يقرر التوجيه والجدران النارية ما إذا كانت الحزمة من مجمّع النفق تصل إلى مستمع TCP 3389 لدى الوجهة. ثم يصادق مصافحة NLA الخاصة بالعميل على الحساب تجاه الوجهة. وبعد هذه الثلاث فقط تتحقق سلطة الأمان المحلية مما إذا كان الحساب يحمل حق تسجيل الدخول الذي تتطلبه جلسة بعيدة تفاعلية.

لأن الترتيب ثابت، تخفي كل بوابة البوابات التي خلفها. فشل النفق لا يقول شيئًا عن التوجيه؛ ومنفذ محجوب لا يقول شيئًا عن حق تسجيل الدخول؛ ونجاح اختبار المنفذ لا يقول شيئًا عن القبول. لهذا فإن «VPN يعمل لكن RDP لا يعمل» ليس مشكلة واحدة بل حدًا بين بوابتين من هذه البوابات، ولهذا يكون نص الخطأ أسرع طريقة لمعرفة البوابة التي اصطدمت بها.

الحق الذي يرفض الجلسة فعليًا

يتطلب تسجيل الدخول إلى سطح المكتب البعيد حق المستخدم السماح بتسجيل الدخول عبر خدمات سطح المكتب البعيد، SeRemoteInteractiveLogonRight. يُفحص عند تسجيل الدخول لا عند إعداد النفق، ولهذا يمكن لحساب أن يتصفح الشبكة ساعات ويُرفض له سطح المكتب. يقع مربع الحوار الذي يعرضه تحت «السياسات المحلية» و«تعيين حقوق المستخدم»، ويقع المكافئ في النطاق داخل GPO.

تعتمد العضوية الافتراضية على دور الجهاز: تمنحه محطات العمل والخوادم الأعضاء لكل من Administrators وRemote Desktop Users، بينما يمنحه متحكم النطاق لـ Administrators فقط. هذه الحقيقة الواحدة تفسر معظم الالتباس، لأن الحساب نفسه ينجح على خادم ملفات ويفشل على متحكم نطاق. حق الرفض يتغلب على حق السماح المقابل بصرف النظر عن عضوية المجموعة، لذا يُرفض الحساب الذي مُنح له السماح والرفض معًا. ويمكن لمجموعة رفض واسعة أن تلتقط مسؤولًا أُضيف على سبيل المجاملة.

اقرأ السياسة الفعلية، لا مربع الحوار المحلي

تُستبدل السياسة المحلية بأي GPO في النطاق يعرّف الحق نفسه، لذا قد تعرض وحدة الإدارة المحلية قائمة تبدو صحيحة بينما الحالة الفعلية مختلفة. صدّر ما يطبقه الجهاز فعليًا، ثم ابحث عن الحق واقرأ SIDs بدلًا من أسماء العرض:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

في ذلك الناتج يكون *S-1-5-32-544 هو Administrators، ويكون *S-1-5-32-555 هو Remote Desktop Users.

إذا لم يظهر أي منهما، فلا يمكن لأحد سوى حائز سياسة فتح سطح مكتب، مهما اقترحه مربع الحوار المحلي للمستخدمين والمجموعات. عندئذٍ يسمّي gpresult الـ GPO الذي فاز، وهو الكائن الذي عليك تحريره؛ وتغيير السياسة المحلية على جهاز منضم إلى النطاق اختبار وليس إصلاحًا.

امنح أضيق حق يكفي

الجواب المعتاد هو مجموعة Remote Desktop Users على الوجهة. فهي تحمل الحق افتراضيًا، وهي أصغر بكثير من Administrators، وتفصل بين «يجوز فتح سطح مكتب» و«يجوز إدارة الخادم». وحيث أعادت السياسة تعيين الحق صراحةً، أضف المجموعة أو الحساب إلى تلك السياسة بدلًا من إضافة مجموعة لم يقصد بها أحد أن تكون ضابط وصول.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

افحص قائمة الرفض قبل أن تضيف أي شيء. إذا كان حق رفض يسمّي مجموعة تحتوي المستخدم، فالتغيير الصحيح هو إزالة الحساب من تلك المجموعة أو تضييق الرفض، لا إضافة سماح ثانٍ في مكان آخر. سجّل الحق الذي غيّرته وأين، لأن تحديث GPO لاحقًا سيعيد الحالة السابقة بصمت وستُفتح التذكرة بالرسالة نفسها.

أبقِ مسار الشبكة قرارًا منفصلًا

لا يلزم أن تصل مجموعة VPN إلى كل منفذ. عندما تحتاج مجموعة إلى تطبيق لا إلى سطح مكتب، فإن قاعدة جدار ناري مقصورة على مجمّع النفق ومنفذ التطبيق تنفّذ تلك السياسة، بينما يبقى حق تسجيل الدخول دون مساس.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

يمكن لتهيئة OpenVPN لكل عميل وأذونات مجموعات Access Server أن تقيّد بادئات الوجهة بالروح نفسها؛ ولا يمنح أي منهما حق تسجيل دخول في Windows، وحق تسجيل الدخول لا يستطيع فتح منفذ. أبقِهما في نوافذ تغيير منفصلة، لأن قاعدة منفذ واستحقاقًا يوافق عليهما أشخاص مختلفون.

تحقق بالترتيب نفسه الذي تُطبق به البوابات: هل يستطيع الحساب إنشاء النفق، وهل تستطيع الجلسة الوصول إلى المستمع، وهل يصادق العميل، وهل يحمل الحساب الحق. اختبار ping يفشل بينما ينجح اختبار المنفذ هو جدار ناري يجيب عن ICMP بشكل مختلف، وليس دليلًا على حجب RDP. وتُدرج مرجعية حق تسجيل الدخول من Microsoft الإعدادات الافتراضية حسب دور الجهاز وقاعدة تغليب الرفض على السماح.