Доступ праз VPN без правоў аддаленага працоўнага стала: чатыры асобныя брамы

Карыстальнік падключаецца да VPN, адкрывае агульны файл і ўнутраную праграму, а затым спроба RDP вяртае «уліковы запіс карыстальніка не мае права на аддалены ўваход». У гэтым паведамленні няма нічога няправільнага пра тунель. Паміж уліковым запісам VPN і інтэрактыўным працоўным сталом стаяць чатыры незалежныя брамы, і толькі апошняя выдала яго. Звычайна людзі дадаюць запіс у Administrators, што дае значна больш за працоўны стол і не выпраўляе браму, калі групавая палітыка забараняе. Вось што робіць кожная брама і як змяніць толькі тую, што адмаўляе.

Чатыры брамы ў фіксаваным парадку

Шлюз спачатку вырашае, ці можа ідэнтычнасць увогуле ўсталяваць тунель: палітыка RADIUS, умова групы, праверка сертыфіката, дазвол Access Server. Затым маршрутызацыя і міжсеткавыя экраны вырашаюць, ці дасягае пакет з пула тунеля слухача TCP 3389 прызначэння. Затым кліенцкі рукапаціск NLA аўтэнтыфікуе ўліковы запіс перад прызначэннем. І толькі пасля гэтых трох лакальны орган бяспекі правярае, ці мае запіс права ўваходу, якое патрабуе інтэрактыўная аддаленая сесія.

Паколькі парадак фіксаваны, кожная брама хавае тыя, што за ёй. Няўдалы тунель нічога не кажа пра маршрутызацыю; заблакаваны порт нічога не кажа пра права ўваходу; паспяховы тэст порта нічога не кажа пра допуск. Таму «VPN працуе, а RDP не» — гэта не адна праблема, а мяжа паміж дзвюма з гэтых брам, і таму тэкст памылкі — самы хуткі спосаб зразумець, на якую вы натрапілі.

Права, якое фактычна адмаўляе сесію

Уваход у аддалены працоўны стол патрабуе права карыстальніка Дазволіць уваход праз службы аддаленага працоўнага стала, SeRemoteInteractiveLogonRight. Яно правяраецца пры ўваходзе, а не пры ўсталяванні тунеля, таму запіс можа гадзінамі блукаць па сетцы і ўсё роўна не атрымаць працоўны стол. Дыялог, які яго паказвае, знаходзіцца ў раздзеле «Лакальныя палітыкі», «Прызначэнне правоў карыстальнікаў», а даменны эквівалент — у GPO.

Стандартнае членства залежыць ад ролі машыны: працоўныя станцыі і сэрверы-ўдзельнікі даюць яго Administrators і Remote Desktop Users, а кантролер дамена — толькі Administrators. Гэты адзіны факт тлумачыць большасць блытаніны, бо адзін і той жа запіс атрымлівае поспех на файлавым сэрверы і адмову на DC. Права забароны перамагае адпаведнае права дазволу незалежна ад членства ў групе, таму запіс, якому і дазволена, і забаронена, атрымлівае адмову. Шырокая група забароны можа захапіць адміністратара, дададзенага з ласкі.

Чытайце дзейсную палітыку, а не лакальны дыялог

Лакальная палітыка перазапісваецца любой даменнай GPO, якая вызначае тое ж права, таму лакальная аснастка можа паказваць спіс, што выглядае правільна, але дзейсны стан іншы. Экспартуйце тое, што машына фактычна ўжывае, потым знайдзіце права і чытайце SID, а не адлюстраваныя імёны:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

У гэтым вывадзе *S-1-5-32-544 — гэта Administrators, а *S-1-5-32-555 — Remote Desktop Users.

Калі не паказаны ні адзін, ніхто, акрамя ўладальніка палітыкі, не можа адкрыць працоўны стол, што б ні прапаноўваў лакальны дыялог карыстальнікаў і груп. Тады gpresult называе GPO, якая перамагла, і менавіта гэты аб'ект трэба рэдагаваць; змяненне лакальнай палітыкі на машыне, далучанай да дамена, — гэта тэст, а не выпраўленне.

Дайце самае вузкае права, якое падыходзіць

Звычайны адказ — група Remote Desktop Users на прызначэнні. Яна мае права па змаўчанні, яна значна меншая за Administrators і аддзяляе «можа адкрыць працоўны стол» ад «можа кіраваць сэрверам». Калі палітыка відавочна пераразмеркавала права, дадайце групу або запіс у гэтую палітыку, а не дадавайце групу, якую ніхто не планаваў як кантроль доступу.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Праверце спіс забарон, перш чым нешта дадаваць. Калі права забароны называе групу, што змяшчае карыстальніка, правільнае змяненне — выдаліць запіс з гэтай групы або звузіць забарону, а не дадаць другі дазвол у іншым месцы. Запішыце, якое права вы змянілі і дзе, бо наступнае абнаўленне GPO моўчкі верне папярэдні стан, і заяўка адкрыецца з тым жа паведамленнем.

Трымайце сеткавы шлях асобным рашэннем

Група VPN не абавязана дасягаць кожнага порта. Калі групе патрэбна праграма, а не працоўны стол, правіла міжсеткавага экрана, абмежаванае пулам тунеля і портам праграмы, увасабляе гэтую палітыку, а права ўваходу застаецца некранутым.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Уласная канфігурацыя OpenVPN для кожнага кліента і дазволы груп Access Server могуць абмяжоўваць прэфіксы прызначэння ў тым жа духу; ні адно з іх не дае права ўваходу Windows, і права ўваходу не можа адкрыць порт. Трымайце іх у асобных вокнах змен, бо правіла порта і права зацвярджаюць розныя людзі.

Правярайце ў тым жа парадку, у якім дзейнічаюць брамы: ці можа запіс усталяваць тунель, ці дасягае сесія слухача, ці аўтэнтыфікуецца кліент і ці мае запіс права. Ping, які не праходзіць, калі тэст порта паспяховы, — гэта міжсеткавы экран, што адказвае інакш на ICMP, а не доказ блакіроўкі RDP. Даведка Microsoft па праве ўваходу пералічвае змаўчанні для кожнай ролі машыны і правіла перавагі забароны над дазволам.