Přístup k VPN bez práv ke vzdálené ploše: čtyři samostatné brány

Odmítnutá relace RDP je právo přihlášení ve Windows, ne závada VPN. Přečtěte si platnou politiku, přidejte úzkou skupinu a síťovou cestu držte odděleně.

Uživatel se připojí k VPN, otevře sdílenou složku a interní aplikaci a potom pokus o RDP vrátí „uživatelský účet není oprávněn k vzdálenému přihlášení“. V této zprávě není o tunelu nic špatného. Mezi účtem VPN a interaktivní plochou stojí čtyři nezávislé brány a tuto zprávu vyvolala jen poslední z nich. Lidé obvykle reagují přidáním účtu do skupiny Administrators, což dává mnohem víc než plochu a bránu neopraví, pokud ji zásady skupiny zakazují. Zde je, co každá brána skutečně dělá a jak změnit jen tu, která odmítá.

Čtyři brány v pevném pořadí

Brána nejprve rozhodne, zda identita vůbec smí vytvořit tunel: politika RADIUS, podmínka skupiny, kontrola certifikátu, oprávnění Access Serveru. Potom směrování a firewally rozhodnou, zda paket z fondu tunelu dorazí k naslouchajícímu portu TCP 3389 cíle. Potom NLA handshake klienta ověří účet vůči cíli. Teprve po těchto třech místní bezpečnostní autorita zkontroluje, zda má účet právo přihlášení, které interaktivní vzdálená relace vyžaduje.

Protože je pořadí pevné, každá brána skrývá ty za sebou. Neúspěšný tunel nic neříká o směrování; zablokovaný port nic neříká o právu přihlášení; úspěšný test portu nic neříká o vpuštění. Proto „VPN funguje, ale RDP ne“ není jeden problém, ale hranice mezi dvěma z těchto bran, a proto je text chyby nejrychlejší způsob, jak zjistit, na kterou jste narazili.

Právo, které relaci skutečně odmítá

Přihlášení ke vzdálené ploše vyžaduje uživatelské právo Povolit přihlášení prostřednictvím služeb vzdálené plochy, SeRemoteInteractiveLogonRight. Kontroluje se při přihlášení, ne při sestavování tunelu, a proto může účet hodiny procházet síť a přesto mu bude plocha odmítnuta. Dialog, který ho zobrazuje, najdete v Místních zásadách, Přiřazení uživatelských práv, a doménový ekvivalent je v GPO.

Výchozí členství závisí na roli počítače: pracovní stanice a členské servery ho udělují skupinám Administrators a Remote Desktop Users, zatímco řadič domény jen skupině Administrators. Tento jediný fakt vysvětluje většinu zmatku, protože stejný účet uspěje na souborovém serveru a selže na DC. Právo odepření přebíjí odpovídající právo povolení bez ohledu na členství ve skupině, takže účet, kterému je zároveň povoleno i odepřeno, je odepřen. Široká skupina odepření může zachytit administrátora přidaného z ochoty.

Čtěte platnou politiku, ne místní dialog

Místní politiku přepisuje každá doménová GPO, která definuje stejné právo, takže místní snap-in může zobrazovat seznam, který vypadá správně, zatímco skutečný stav je jiný. Exportujte, co počítač skutečně uplatňuje, potom právo vyhledejte a čtěte SID místo zobrazovaných jmen:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

V tomto výstupu je *S-1-5-32-544 skupina Administrators a *S-1-5-32-555 skupina Remote Desktop Users.

Pokud se neobjeví ani jedno, nikdo kromě držitele politiky nemůže otevřít plochu, ať místní dialog Uživatelé a skupiny naznačuje cokoli. Potom gpresult pojmenuje GPO, která zvítězila, a to je objekt, který musíte upravit; změna místní politiky na počítači připojeném k doméně je test, ne oprava.

Přidělte nejužší právo, které stačí

Obvyklou odpovědí je skupina Remote Desktop Users na cíli. Právo nese ve výchozím nastavení, je mnohem menší než Administrators a odděluje „smí otevřít plochu“ od „smí spravovat server“. Kde politika právo výslovně přeřadila, přidejte do této politiky skupinu nebo účet, místo abyste přidávali skupinu, kterou nikdo nezamýšlel jako řízení přístupu.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Než něco přidáte, zkontrolujte seznam odepření. Pokud právo odepření jmenuje skupinu, která uživatele obsahuje, správnou změnou je odebrat účet z této skupiny nebo odepření zúžit, ne přidat druhé povolení jinde. Zapište, které právo jste změnili a kde, protože pozdější obnovení GPO tiše vrátí předchozí stav a tiket se znovu otevře se stejnou zprávou.

Síťovou cestu držte jako samostatné rozhodnutí

Skupina VPN nemusí dosáhnout na každý port. Když skupina potřebuje aplikaci a ne plochu, pravidlo firewallu omezené na fond tunelu a port aplikace dá této politice účinnost, zatímco právo přihlášení zůstane nedotčeno.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Vlastní konfigurace OpenVPN pro jednotlivé klienty a oprávnění skupin Access Serveru mohou stejným duchem omezit předpony cíle; ani jedno z nich neuděluje právo přihlášení ve Windows a právo přihlášení nemůže otevřít port. Držte je v samostatných oknech změn, protože pravidlo portu a oprávnění schvalují různí lidé.

Ověřujte ve stejném pořadí, v jakém se brány uplatňují: může účet vytvořit tunel, dosáhne relace k naslouchajícímu portu, ověří se klient a má účet právo. Ping, který selže, zatímco test portu uspěje, je firewall odpovídající jinak na ICMP, ne důkaz, že je RDP zablokováno. Referenční dokumentace Microsoftu k právu přihlášení uvádí výchozí hodnoty podle role počítače a pravidlo, že odepření přebíjí povolení.

Související články