Nid yw ychwanegu rheol caniatáu RDP yn culhau eich mynediad VPN

Mae'r cynllun yn swnio'n rhesymol: gadewch y caniatâd Desktop Pell presennol fel y mae ac ychwanegu un bach ar gyfer yr unig gleient VPN a ddylai gael mynediad. Nid yw Windows Firewall yn gweithio felly. Nid rhestr drefnus yw'r rheolau lle mae'r cofnod mwyaf penodol yn ennill, ac nid yw caniatâd cul wrth ymyl caniatâd llydan yn newid dim, oherwydd mae'r un llydan yn dal i adael pawb roedd yn eu gadael o'r blaen. Mae culhau'r gwasanaeth yn golygu golygu'r caniatâd sy'n gwneud y gwaith yn barod.

Nid y rheol rydych yn ei hychwanegu yw'r rheol sy'n bwysig

Mae Windows Firewall yn gwerthuso pob rheol fewnlif berthnasol ar draws y storfeydd polisi sy'n berthnasol i'r peiriant, yna'n penderfynu a oes unrhyw ganiatâd yn cyfateb ac a oes unrhyw floc yn ei drechu. Mae ychwanegu rheol yn ychwanegu caniatâd; nid yw'n dileu nac yn cymhwyso'r caniatadau sydd eisoes yno.

Felly nid y cwestiwn byth yw beth rydych wedi'i ychwanegu. Y cwestiwn yw beth sydd yn y polisi effeithiol ar ôl cyfuno polisi lleol, polisi parth a diofynion y proffil. Mae gorsaf waith ag un rheol leol yn hawdd ei rhesymu; nid yw gweinydd wedi'i ymuno â pharth.

Dyna hefyd pam y gall gweinyddwr wneud newid sy'n edrych yn gywir, ei brofi o'r peiriant anghywir, a chasglu ei fod wedi gweithio. Ni phrofwyd y ffynhonnell a eithriwyd erioed. Mae prawf sy'n profi llwyddiant yn unig yn profi llai na hanner yr hyn roedd y newid yn ei olygu.

Darganfyddwch pa gyfeiriad y mae'r gweinydd yn ei weld

Cyn cwmpasu unrhyw beth, arsylwch un sesiwn a ganiateir ar y gwesteiwr Windows a chofnodwch y cyfeiriad ffynhonnell y mae'r gweinydd yn ei adrodd. Nid dyma'r cyfeiriad y mae'r cleient yn credu sydd ganddo bob amser.

Os yw'r porth VPN yn cadw cyfeiriadau cleientiaid, mae'r gweinydd yn gweld cyfeiriad twnnel y cleient, ac mae rheol wedi'i chwmpasu gan gyfeiriad yn ystyrlon. Os yw'r porth yn cyfieithu, mae pob cleient yn cyrraedd fel cyfeiriad y porth, ac mae cwmpasu i'r cyfeiriad hwnnw yn rhoi mynediad i bob cleient y tu ôl iddo. Yna mae'r rheol yn fanwl gywir am y peth anghywir.

Mae'r ddau ddyluniad hyn angen atebion gwahanol. Gellir mynegi'r cyntaf mewn rheol wal dân; rhaid gorfodi'r ail lle mae hunaniaeth yn dal i fodoli, sef y VPN ei hun neu borth dilysedig o flaen y gwasanaeth.

Ni all hidlydd wal dân adfer hunaniaeth a daflwyd i ffwrdd gan gyfieithu rhwydwaith, waeth pa mor ofalus y teipiwyd y cyfeiriad.

Newidiwch berchennog y rheol effeithiol

Archwiliwch y polisi mewnlif effeithiol a chanfod pob rheol sy'n caniatáu traffig RDP ar hyn o bryd, gan gynnwys rheolau nad yw eu henw arddangos byth yn sôn am borth 3389. Mae rheolau wedi'u cwmpasu gan wasanaeth a chan gymhwysiad yn cyfrif hefyd, a'r un modd trafnidiaeth UDP y mae rhai gosodiadau RDP yn ei galluogi.

Yna golygwch y rheolau presennol trwy'r storfa biau nhw. Gall golygiad lleol o reol y mae polisi parth hefyd yn ei ddiffinio gael ei gyfuno, ei anwybyddu neu ei ddisodli, ac mae'n werth gwybod pa un o'r rhain sy'n digwydd cyn i chi ddibynnu arno.

Mae'r gorchmynion hyn yn dod o hyd i'r rheolau gweithredol, yn dangos yr hidlydd cyfeiriadau sydd ynghlwm wrth un ohonynt, ac yn rhagweld newid cwmpas:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Mae enwau'r rheolau yma yn ddalwyr lle ar gyfer yr hyn a ganfu'r adolygiad, ac mae'r faner ragweld yn bodoli fel na fydd gwall teipio mewn cyfeiriad yn eich cloi allan o'r gweinydd rydych yn ei olygu.

Rhwystro-yna-caniatáu yn fodel gwahanol

Yr arfer o waliau dân eraill yw ysgrifennu bloc llydan ac yna caniatâd cul uwch ei ben. Ar Windows mae bloc pendant yn gyffredinol yn ennill dros ganiatâd, felly mae'r drefn honno'n cynhyrchu gwasanaeth na all neb ei gyrraedd yn hytrach nag eithriad i un cleient. Y canlyniad yw toriad sy'n edrych fel gwasanaeth RDP wedi torri. Camgymeriad blaenoriaeth ydyw mewn gwirionedd, a'r atgyweiriad yw tynnu'r bloc yn hytrach nag ychwanegu caniatâd arall.

Cadwch yr ymddygiad rhwystro mewnlif diofyn ar y proffiliau gweithredol a chulhewch y caniatadau penodol yn lle hynny. Mae hynny'n gadael y peiriant ag un agwedd ddealladwy yn hytrach na dwy reol groes sy'n dibynnu ar fanylion blaenoriaeth.

Profwch hyn gydag ail ffynhonnell

Profwch o'r cleient a ganiateir ac o ffynhonnell a ddylai fethu nawr. Mae un cysylltiad llwyddiannus yn profi dim ond bod y llwybr a ganiateir yn gweithio; nid yw'n dweud dim am yr eithriad rydych newydd ei wneud.

Ailadroddwch y prawf dros IPv6 os yw'r gweinydd wedi'i alluogi, oherwydd gall bwriad IPv4 yn unig gydfodoli â chaniatâd IPv6 llydan na chymerodd neb sylw ohono.

Yn olaf, cadwch ddilysu ar wahân i gyrraeddadwyedd. Mae dilysu ar lefel rhwydwaith, hawliau cyfrif a chyfyngiadau mewngofnodi yn dal i benderfynu pwy sy'n cael defnyddio'r sesiwn, a'r wal dân yn unig sy'n penderfynu pwy sy'n cael gofyn. Dylai tynnu dyfais yn ddiweddarach dynnu ei chofrestriad VPN a'r caniatâd rhwydwaith hwn, neu bydd y cyfeiriad a gwmpaswyd gennych yn perthyn i rywun arall maes o law.