RDP mijenja klijenta: zašto baza podataka vidi drugi host

Vaše pravilo VPN-a odbija bazu podataka i tiket se zatvara kao kvar zaštitnog zida, dok isti korisnik otvara objavljenu radnu površinu i bez problema upituje tu bazu. Obje tvrdnje su tačne. Radna površina je drugi klijent, sa vlastitom adresom u segmentu kojem pravila već vjeruju, i sa vlastitim identitetom kada se povezuje dalje. Ono što izgleda kao proturječno pravilo obično je drugi zahtjev koji niko nije unio u pregled.

Drugi zahtjev ima vlastitu adresu klijenta

Kada aplikacija unutar sesije otvori vezu prema bazi, TCP rukovanje počinje na hostu sesije. Njegova izvorna adresa pripada mreži tog hosta, pa svaki ruter i zaštitni zid baze na putu ocjenjuje segment radne površine, a ne bazen tunela iz kojeg je došao vaš laptop. Adresa VPN-a se nikada ne pojavljuje u tom toku. Zato pravilo zabrane po izvoru može biti istovremeno tačno i nebitno.

Pročitajte porijeklo unutar sesije, a ne s laptopa, zatim testirajte dalji put s istog mjesta. Dva odgovora bi trebalo da se slože oko toga koji host šalje zahtjev.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Uporedite šta sesija prijavljuje s adresom koju je baza zabilježila za isti trenutak. Kada dnevnik servera pokaže podmrežu radne površine umjesto bazena tunela, pitanje prestaje biti da li se pravilo aktiviralo i postaje koji host je poslao zahtjev. To je druga istraga s drugim vlasnikom.

Identitet se mijenja zajedno s adresiranjem

Dalja veza se obično autentificira kao token sesije, sačuvani akreditiv ili servisni račun aplikacije, i resurs bilježi šta mu je dato. Zato trag revizije sa servisnim računom na bazi ne dokazuje da je upit izvršio čovjek. Ne identificira ni tog čovjeka. Samo dnevnik sesije radne površine povezuje ta dva zapisa.

Autorizacija se dešava dva puta, a druga odluka se donosi s drugim ulazima. Prva daje imenovanom korisniku prijavu na radnu površinu, dok druga daje šta token tog korisnika ili račun aplikacije mogu uraditi s resursom. Grupa podrške koja smije otvoriti radnu površinu nije automatski grupa koja smije čitati tabelu klijenata.

Pogledajte token i put delegiranja prije nego što napišete bilješku o pristupu. Oba su vidljiva unutar sesije, i to je jedino mjesto gdje odgovor nije pretpostavka.

whoami /groups
klist
query session

Ako aplikacija koristi servisni račun, dalje su važna upravo njegova prava. Rotacija tog akreditiva pripada pregledu pristupa, a ne kasnijoj operativnoj misli.

Zašto je direktni put još uvijek i s pravom blokiran

Pravilo zabrane nije pogrešno samo zato što se do cilja može stići drugim putem. Segmentacija se ocjenjuje po izvoru, a radna površina sjedi u segmentu koji je dozvoljen mnogo prije nego što je iko počeo da ga smatra putem do baze. Ništa nije zaobišlo politiku. Politika jednostavno opisuje dva različita izvora s dva različita ishoda.

Pregled mora odgovoriti šta svaka ovlaštena sesija na tom hostu može pokrenuti. Pregledači sa sačuvanim sesijama, mapirani diskovi, agenti koji drže akreditive i lokalno slušajuće usluge sve proširuju doseg radne površine, i nijedno od toga se ne pojavljuje u tiketu koji je dao prijavu. Taj spisak je stvarna površina dozvola.

Nabrojite ga unutar testne sesije, a ne iz tabele. Nekoliko komandi pokriva većinu površine.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Izaberite granicu svjesno

Tri oblika odgovaraju različitim zadacima, i izbor treba da prati zadatak, a ne alat koji slučajno postoji. Objavljena aplikacija izlaže jedan program sa vlastitim dozvolama, puna radna površina izlaže sve što profil korisnika može, a uzak račun baze s ograničenjem izvora izlaže jedan resurs potpuno bez radne površine. Najuži oblik koji još obavlja posao je onaj koji treba dokumentovati. Sve šire zahtijeva razlog napisan pored.

Za jedan izvještaj, objavljena aplikacija ili ograničen račun je manja dozvola od opšte radne površine. Za održavanje koje zaista zahtijeva nekoliko alata, radna površina može biti ispravna, ali tada odobrenje opisuje cijeli host, a ne jednu aplikaciju. Pitajte vlasnika resursa s kojim od toga se slaže.

Kretanje podataka je poseban prekidač. Ostava za isječke, preusmjeravanje diskova i preuzimanja mogu prenijeti podatke kompanije do klijenta, a pokretanje aplikacije na daljinu samo po sebi ne zadržava podatke daleko.

Provjerite oba odobrenja i put uklanjanja

U zapis idu dva odobrenja: pravo da se stigne do radne površine i da se ona otvori, i pravo da se koriste resursi iz njene unutrašnjosti. Imenujte vlasnika za svako i držite drugo vidljivo za svakoga ko pregleda resurs. Upravo o drugom unosu će pitati revizor, jer opisuje doseg, a ne ulaz. Napišite oba prije nego što izmjena bude odobrena, a ne poslije prvog incidenta.

Zatim testirajte uklanjanje, jer isključena sesija može nadživjeti svoj razlog. Tabela sesija je najbrže mjesto da vidite šta još radi.

query session
query user
qwinsta /server:rdsh01.corp.internal

Isključivanje klijenta ostavlja udaljenu sesiju u radu, a njene mrežne veze i keširani akreditivi mogu ostati upotrebljivi dok se ta sesija ne završi. Odjavite se ili jasno završite sesiju i potvrdite da brojač ispod prestaje da se pomjera nakon toga. Test uklanjanja koji samo zatvara poklopac laptopa ništa ne dokazuje. Izvedite isti test jednom s onemogućenim računom i jednom sa oduzetom dozvolom za radnu površinu, pa zabilježite šta je resurs evidentirao u svakom slučaju.