VPN-ə uzaq iş masası hüququ olmadan giriş: dörd ayrı qapı

İstifadəçi VPN-ə qoşulur, fayl paylaşımını və daxili tətbiqi açır, sonra RDP cəhdi “istifadəçi hesabı uzaqdan giriş üçün səlahiyyətli deyil” mesajını qaytarır. Bu mesajda tunelə dair heç bir səhv yoxdur. VPN hesabı ilə interaktiv iş masası arasında dörd müstəqil qapı dayanır və bunu yalnız sonuncusu yaratdı. İnsanlar adətən hesabı Administrators qrupuna əlavə edirlər; bu, iş masasından qat-qat çox hüquq verir və Qrup Siyasəti onu rədd edirsə qapını düzəltmir. Budur hər qapının həqiqətən nə etdiyi və yalnız rədd edən qapının necə dəyişdiriləcəyi.

Dörd qapı sabit sıra ilə dayanır

Şlüz əvvəlcə kimliyin ümumiyyətlə tunel qura biləcəyinə qərar verir: RADIUS siyasəti, qrup şərti, sertifikat yoxlaması, Access Server icazəsi. Sonra marşrutlaşdırma və firewalls tunel hovuzundan gələn paketin təyinatın TCP 3389 dinləyicisinə çatıb-çatmadığına qərar verir. Sonra müştərinin NLA əl sıxması hesabı təyinat qarşısında doğrulayır. Yalnız bu üçündən sonra yerli təhlükəsizlik orqanı hesabın interaktiv uzaq sessiyanın tələb etdiyi giriş hüququna sahib olub-olmadığını yoxlayır.

Sıra sabit olduğu üçün hər qapı arxasındakıları gizlədir. Uğursuz tunel marşrutlaşdırma haqqında heç nə demir; bloklanmış port giriş hüququ haqqında heç nə demir; uğurlu port testi qəbul haqqında heç nə demir. Buna görə “VPN işləyir, RDP işləmir” bir problem deyil, bu qapılardan ikisi arasındakı sərhəddir və buna görə xəta mətni hansına dəydiyinizi ən sürətli şəkildə göstərir.

Sessiyanı həqiqətən rədd edən hüquq

Uzaq iş masasına giriş Uzaq İş Masası Xidmətləri vasitəsilə girişə icazə ver istifadəçi hüququnu, yəni SeRemoteInteractiveLogonRight tələb edir. O, tunel qurularkən deyil, giriş zamanı yoxlanılır; buna görə hesab saatlarla şəbəkədə gəzə və yenə də iş masasından məhrum edilə bilər. Onu göstərən dialoq Yerli Siyasətlər, İstifadəçi Hüquqlarının Təyini altındadır, domen ekvivalenti isə GPO-dadır.

Standart üzvlük maşının rolundan asılıdır: iş stansiyaları və üzv serverlər onu Administrators və Remote Desktop Users qruplarına verir, domen nəzarətçisi isə yalnız Administrators-a. Bu tək fakt qarışıqlığın çoxunu izah edir, çünki eyni hesab fayl serverində uğur qazanır, DC-də isə uğursuz olur. Rədd hüququ qrup üzvlüyündən asılı olmayaraq uyğun icazə hüququndan üstündür, yəni həm icazə verilən, həm rədd edilən hesab rədd edilir. Geniş rədd qrupu xoşluq üçün əlavə edilmiş administratoru da tuta bilər.

Yerli dialoqu deyil, effektiv siyasəti oxuyun

Yerli siyasət eyni hüququ təyin edən istənilən domen GPO-su tərəfindən üzərinə yazılır, buna görə yerli snap-in düzgün görünən siyahı göstərə bilər, halbuki effektiv vəziyyət fərqlidir. Maşının həqiqətən tətbiq etdiyini ixrac edin, sonra hüququ axtarın və göstərilən adlar yerinə SID-ləri oxuyun:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Bu çıxışda *S-1-5-32-544 Administrators, *S-1-5-32-555 isə Remote Desktop Users deməkdir.

Əgər heç biri görünmürsə, yerli İstifadəçilər və Qruplar dialoqu nə təklif edirsə etsin, siyasət sahibindən başqa heç kim iş masası aça bilməz. Sonra gpresult hansı GPO-nun qalib gəldiyini göstərir; redaktə etməli olduğunuz obyekt elə odur; domenə qoşulmuş maşında yerli siyasəti dəyişmək düzəliş deyil, sınaqdır.

Uyğun gələn ən dar hüququ verin

Adi cavab təyinatdakı Remote Desktop Users qrupudur. O, hüququ standart olaraq daşıyır, Administrators-dan qat-qat kiçikdir və “iş masası aça bilər” ilə “serveri idarə edə bilər”i ayırır. Siyasət hüququ açıq şəkildə yenidən təyin edibsə, heç kimin giriş nəzarəti kimi nəzərdə tutmadığı qrupu əlavə etmək yerinə qrupu və ya hesabı həmin siyasətə əlavə edin.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Nəsə əlavə etməzdən əvvəl rədd siyahısını yoxlayın. Rədd hüququ istifadəçini ehtiva edən qrupu adlandırırsa, düzgün dəyişiklik hesabı həmin qrupdan çıxarmaq və ya rəddi daraltmaqdır, başqa yerdə ikinci icazə əlavə etmək deyil. Hansı hüququ və harada dəyişdiyinizi qeyd edin, çünki sonrakı GPO yenilənməsi əvvəlki vəziyyəti səssizcə bərpa edəcək və bilet eyni mesajla yenidən açılacaq.

Şəbəkə yolunu ayrı qərar kimi saxlayın

VPN qrupu hər porta çatmaq məcburiyyətində deyil. Qrup iş masası deyil, tətbiq tələb etdikdə, tunel hovuzuna və tətbiq portuna məhdud firewall qaydası bu siyasətə qüvvə verir, giriş hüququ isə toxunulmaz qalır.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN-in öz müştəri üzrə konfiqurasiyası və Access Server qrup icazələri təyinat prefikslərini eyni ruhda məhdudlaşdıra bilər; heç biri Windows giriş hüququ vermir və giriş hüququ port aça bilməz. Onları ayrı dəyişiklik pəncərələrində saxlayın, çünki port qaydası ilə hüquq fərqli insanlar tərəfindən təsdiqlənir.

Qapıların tətbiq olunduğu sıra ilə yoxlayın: hesab tunel qura bilirmi, sessiya dinləyiciyə çatırmı, müştəri doğrulayırmı və hesab hüquqa sahibdirmi. Port testi keçdiyi halda uğursuz ping firewall-un ICMP-yə fərqli cavab verməsidir, RDP-nin bloklandığına sübut deyil. Microsoft-un giriş hüququ arayışı maşın roluna görə standartları və rəddin icazədən üstünlük qaydasını sadalayır.