RDP müştərini dəyişir: verilənlər bazası niyə başqa host görür

VPN qaydanız verilənlər bazasına girişi rədd edir və bileti firewall nasazlığı kimi bağlayırlar, halbuki həmin istifadəçi dərc edilmiş masaüstü açıb həmin bazaya problemsiz sorğu göndərir. Hər iki ifadə doğrudur. Masaüstü başqa müştəridir: qaydaların artıq etibar etdiyi seqmentdə öz ünvanı, irəli qoşularkən isə öz kimliyi var. Ziddiyyətli görünən qayda adətən heç kimin icmala daxil etmədiyi ikinci sorğudur.

İkinci sorğunun öz müştəri ünvanı var

Sessiya daxilindəki tətbiq bazaya bağlantı açanda TCP əl sıxışması sessiya hostunda başlayır. Onun mənbə ünvanı həmin hostun şəbəkəsinə aiddir, ona görə yoldakı hər marşrutlaşdırıcı və verilənlər bazası firewall-u noutbukunuzun gəldiyi tunel hovuzunu deyil, masaüstünün seqmentini qiymətləndirir. VPN ünvanı o axında heç vaxt görünmür. Buna görə mənbəyə əsaslanan rədd qaydası eyni vaxtda həm doğru, həm də əlaqəsiz ola bilər.

Mənşəyi noutbukdan deyil, sessiyanın içindən oxuyun, sonra irəli yolu həmin yerdən yoxlayın. İki cavab sorğunu hansı hostun göndərdiyi barədə razılaşmalıdır.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Sessiyanın bildirdiyini bazanın həmin zaman damğası üçün qeyd etdiyi ünvanla müqayisə edin. Server jurnalı tunel hovuzu yerinə masaüstü alt şəbəkəsini göstərəndə sual qaydanın işə düşüb-düşmədiyindən çıxır və hansı hostun sorğu göndərdiyinə çevrilir. Bu, başqa sahibi olan başqa araşdırmadır.

Kimlik də ünvanla birlikdə dəyişir

İrəli bağlantı adətən sessiyanın tokeni, saxlanmış etimadnamə və ya tətbiqin xidmət hesabı ilə autentifikasiya olunur və resurs ona hansı verilibsə onu qeyd edir. Buna görə bazada xidmət hesabı göstərən audit izi sorğunu insanın icra etdiyini sübut etmir. İnsanı da müəyyən etmir. Yalnız masaüstünün öz sessiya jurnalı bu iki qeydi birləşdirir.

Avtorizasiya iki dəfə baş verir və ikinci qərar fərqli girişlərlə verilir. Birincisi adlı istifadəçiyə masaüstü girişi verir, ikincisi isə həmin istifadəçinin tokeninin və ya tətbiq hesabının resursa nə edə biləcəyini verir. Masaüstü aça bilən yardım masası qrupu avtomatik olaraq müştəri cədvəlini oxuya bilən qrup deyil.

Giriş qeydini yazmazdan əvvəl tokenə və delegasiya yoluna baxın. İkisi də sessiyanın içindən görünür və cavabın təxmin olmadığı yeganə yer oradır.

whoami /groups
klist
query session

Tətbiq xidmət hesabı istifadə edirsə, axında əhəmiyyətli olan onun hüquqlarıdır. Həmin etimadnamənin dəyişdirilməsi əməliyyat sonrası fikirdə deyil, giriş icmalında yer almalıdır.

Birbaşa yol niyə hələ də düzgün bloklanır

Rədd qaydası yalnız təyinat başqa yolla əlçatan olduğu üçün səhv deyil. Seqmentasiya hər mənbə üzrə qiymətləndirilir və masaüstü kimsə onu bazaya yol kimi düşünməzdən çox əvvəl icazə verilmiş seqmentdə oturur. Heç nə siyasəti yan keçməyib. Siyasət sadəcə iki fərqli nəticə ilə iki fərqli mənbə təsvir edir.

İcmalın cavablandırmalı olduğu sual həmin hostdakı hər icazəli sessiyanın nə başlada biləcəyidir. Yadda saxlanmış sessiyalı brauzerlər, qoşulmuş disklər, etimadnamə saxlayan agentlər və yerli dinləyən xidmətlər masaüstünün çatımını genişləndirir və heç biri girişi verən biletdə görünmür. Həmin inventar əsl icazə səthidir.

Onu cədvəldən deyil, test sessiyasının içindən sadalayın. Bir neçə əmr səthin çoxunu əhatə edir.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Sərhədi qəsdən seçin

Üç forma müxtəlif tapşırıqlara uyğundur və seçim təsadüfən mövcud olan aləti deyil, tapşırığı izləməlidir. Dərc edilmiş tətbiq öz icazələri olan bir proqramı açır, tam masaüstü istifadəçi profilinin edə bildiyi hər şeyi açır, mənbə məhdudiyyətli dar bazalı hesab isə masaüstü olmadan bir resurs açır. İşi hələ də tamamlayan ən dar forma sənədləşdirilməlidir. Daha geniş hər şeyin yanında yazılmış səbəbə ehtiyacı var.

Tək hesabat üçün dərc edilmiş tətbiq və ya məhdud hesab ümumi masaüstündən kiçik icazədir. Həqiqətən bir neçə alət tələb edən texniki xidmət üçün masaüstü doğru ola bilər, lakin o zaman təsdiq bir tətbiqi deyil, bütün hostu təsvir edir. Resurs sahibindən hansına razılaşdıqlarını soruşun.

Məlumat hərəkəti ayrı bir açarıdır. Bufer, disk yönləndirməsi və endirmələr şirkət məlumatını müştəriyə apara bilər və tətbiqi uzaqdan işə salmaq məlumatı özlüyündə uzaqda saxlamır.

Hər iki təsdiqi və silinmə yolunu yoxlayın

Qeydə iki təsdiq aiddir: masaüstünə çatma və onu açma hüququ, və onun içindən resurslardan istifadə hüququ. Hər biri üçün sahib adlandırın və ikincini resursu icmal edən hər kəs üçün görünən saxlayın. Auditorun soruşacağı o ikinci qeyddir, çünki girişi deyil, çatımı təsvir edir. İkisini də dəyişiklik təsdiqlənməzdən əvvəl yazın, ilk hadisədən sonra deyil.

Sonra silinməni yoxlayın, çünki əlaqəsi kəsilmiş sessiya səbəbindən uzun yaşaya bilər. Sessiya cədvəli hələ nəyin işlədiyini görmək üçün ən sürətli yerdir.

query session
query user
qwinsta /server:rdsh01.corp.internal

Müştərinin əlaqəsini kəsmək uzaq sessiyanı işlək qoyur və onun şəbəkə bağlantıları və keşlənmiş etimadnamələri o sessiya bitənə qədər istifadə oluna bilər. Çıxış edin və ya sessiyanı açıq şəkildə sonlandırın və sonra axındakı sayğacın irəliləməsinin dayandığını təsdiqləyin. Yalnız noutbukun qapağını bağlayan silinmə testi heç nə sübut etmir. Eyni testi bir dəfə hesab deaktiv, bir dəfə masaüstü icazəsi silinmiş halda keçirin, sonra resursun hər halda nə qeyd etdiyini yazın.