RDP üçün icazə qaydası əlavə etmək VPN girişinizi daraltmır

Plan ağlabatan səslənir: mövcud Uzaq Masaüstü icazəsini olduğu kimi buraxın və girişi olmalı olan tək VPN müştərisi üçün kiçik bir icazə əlavə edin. Windows Firewall belə işləmir. Qaydalar ən xüsusi girişin qazandığı sıralanmış siyahı deyil və geniş icazənin yanında dar icazə heç nəyi dəyişmir, çünki geniş olan artıq icazə verdiyi hər kəsə hələ də icazə verir. Xidməti daraltmaq artıq işi görən icazəni redaktə etmək deməkdir.

Əlavə etdiyiniz qayda vacib olan qayda deyil

Windows Firewall maşına tətbiq olunan siyasət anbarlarındakı bütün tətbiq olunan giriş qaydalarını qiymətləndirir, sonra hər hansı icazənin uyğun gəlib-gəlmədiyini və hər hansı blokun onu üstələyib-üstələmədiyini qərarlaşdırır. Qayda əlavə etmək icazə əlavə edir; mövcud icazələri silmir və ya məhdudlaşdırmır.

Deməli, sual heç vaxt nə əlavə etdiyiniz deyil. Sual effektiv siyasətin nə ehtiva etdiyidir yerli siyasət, domen siyasəti və profil standartları birləşdirildikdən sonra. Bir yerli qaydası olan iş stansiyası asan düşünülür; domenə qoşulmuş server isə yox.

Buna görə də administrator düzgün görünən dəyişiklik edə, onu səhv maşından sınaqdan keçirə və işlədiyi qənaətinə gələ bilər. Kənarlaşdırılmış mənbə heç vaxt sınaqdan keçirilməyib. Yalnız uğuru sübut edən sınaq dəyişikliyin nə üçün edildiyinin yarısından azını sübut edir.

Serverin hansı ünvanı gördüyünü öyrənin

Hər hansı əhatəni təyin etməzdən əvvəl Windows hostunda bir icazəli sessiyanı müşahidə edin və serverin bildirdiyi mənbə ünvanını qeyd edin. Bu həmişə müştərinin sahib olduğunu düşündüyü ünvan deyil.

VPN şlüzü müştəri ünvanlarını qoruyursa, server müştərinin tunel ünvanını görür və ünvana bağlı qayda mənalı olur. Şlüz ünvanları çevirirsə, hər müştəri şlüz ünvanı ilə gəlir və həmin ünvana bağlamaq onun arxasındakı hər müştəriyə giriş verir. Onda qayda səhv şey barədə dəqiq olur.

Bu iki dizayn fərqli cavablar tələb edir. Birincisi firewall qaydasında ifadə oluna bilər; ikincisi şəxsiyyətin hələ mövcud olduğu yerdə tətbiq edilməlidir, yəni VPN-in özündə və ya xidmətin qarşısındakı autentifikasiyalı şlüzdə.

Firewall filtri şəbəkə çevrilməsinin atdığı şəxsiyyəti bərpa edə bilməz, ünvan nə qədər diqqətlə yazılsa da.

Effektiv qaydanın sahibini dəyişin

Effektiv giriş siyasətini yoxlayın və hazırda RDP trafikinə icazə verən hər qaydanı tapın, o cümlədən göstərilən adı heç vaxt 3389 portunu qeyd etməyən qaydaları. Xidmətə və tətbiqə bağlı qaydalar da sayılır, bəzi RDP yerləşdirmələrinin aktivləşdirdiyi UDP nəqli də.

Sonra mövcud qaydaları onlara sahib olan anbar vasitəsilə redaktə edin. Domen siyasətinin də təyin etdiyi qaydaya yerli düzəliş birləşdirilə, nəzərə alınmaya və ya üzərinə yazıla bilər və bunlardan hansının baş verdiyini ona güvənməzdən əvvəl bilməyə dəyər.

Bu əmrlər aktiv qaydaları tapır, birinə bağlı ünvan filtrini göstərir və əhatə dəyişikliyini önizləyir:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Buradakı qayda adları rəyin tapdıqlarının yer tutucularıdır və önizləmə bayrağı ünvanda səhv yazı sizi redaktə etdiyiniz serverdən kilidləməsin deyə mövcuddur.

Blokla-sonra-icazə ver fərqli bir modeldir

Digər firewall-lardan gələn vərdiş geniş blok yazmaq və onun üstünə dar icazə qoymaqdır. Windows-da açıq blok ümumiyyətlə icazədən üstün gəlir, ona görə bu sıralama bir müştəri üçün istisna deyil, heç kimin çata bilmədiyi xidmət yaradır. Nəticə pozulmuş RDP xidməti kimi görünən kəsintidir. Əslində bu üstünlük səhvidir və düzəliş başqa icazə əlavə etmək deyil, bloku silməkdir.

Aktiv profillərdə standart giriş bloku davranışını saxlayın və əvəzində konkret icazələri daraldın. Bu, maşını qarşılıqlı təsiri üstünlük təfərrüatlarından asılı olan iki zidd qayda yerinə bir başa düşülən vəziyyətdə saxlayır.

İkinci mənbə ilə sübut edin

İcazə verilən müştəridən və artıq uğursuz olmalı mənbədən sınaqdan keçirin. Tək uğurlu bağlantı yalnız icazə verilən yolun işlədiyini sübut edir; indicə etdiyiniz kənarlaşdırma barədə heç nə demir.

Serverdə aktivdirsə, sınağı IPv6 üzərində təkrarlayın, çünki yalnız IPv4 nəzərdə tutulan niyyət heç kimin baxmadığı geniş IPv6 icazəsi ilə birgə mövcud ola bilər.

Nəhayət, autentifikasiyanı əlaqə qurma qabiliyyətindən ayrı saxlayın. Şəbəkə Səviyyəsi Autentifikasiyası, hesab hüquqları və giriş məhdudiyyətləri hələ də sessiyadan kimin istifadə edə biləcəyini qərarlaşdırır, firewall isə yalnız kimin soruşa biləcəyini qərarlaşdırır. Bir cihazı sonradan silmək həm onun VPN qeydiyyatını, həm də bu şəbəkə icazəsini silməlidir, əks halda əhatəsini təyin etdiyiniz ünvan nə vaxtsa başqasına məxsus olacaq.