Mae RDP yn newid y cleient: pam mae’r gronfa ddata’n gweld gwesteiwr arall

Mae eich rheol VPN yn gwrthod y gronfa ddata ac mae’r tocyn yn cael ei gau fel nam ar y mur tân, tra mae’r un defnyddiwr yn agor desg gyhoeddedig ac yn holi’r gronfa ddata honno heb drafferth. Mae’r ddau ddatganiad yn wir. Mae’r ddesg yn gleient gwahanol, gyda’i chyfeiriad ei hun ar segment y mae’r rheolau’n ymddiried ynddo eisoes, a’i hunaniaeth ei hun pan fydd yn cysylltu ymlaen. Yr hyn sy’n edrych fel rheol groes yw ail gais na roddodd neb yn yr adolygiad.

Mae gan yr ail gais gyfeiriad cleient ei hun

Pan fydd cymhwysiad y tu mewn i’r sesiwn yn agor cysylltiad â’r gronfa ddata, mae’r cydlawenhau TCP yn dechrau wrth westeiwr y sesiwn. Mae ei gyfeiriad ffynhonnell yn perthyn i rwydwaith y gwesteiwr hwnnw, felly mae pob llwybrydd a mur tân cronfa ddata ar y llwybr yn gwerthuso segment y ddesg yn hytrach na phwll twmffat y daeth eich gliniadur ohono. Nid yw cyfeiriad y VPN byth yn ymddangos yn y llif hwnnw. Dyna pam y gall rheol gwrthod sy’n seiliedig ar ffynhonnell fod yn gywir ac yn amherthnasol ar yr un pryd.

Darllenwch y tarddiad o du mewn y sesiwn yn hytrach nag o’r gliniadur, yna profwch y llwybr ymlaen o’r un lle. Dylai’r ddau ateb gytuno ar ba westeiwr sy’n gwneud y cais.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Cymharwch yr hyn y mae’r sesiwn yn ei adrodd â’r cyfeiriad a gofnododd y gronfa ddata ar gyfer yr un amser. Pan fydd log y gweinydd yn dangos is-rwydwaith y ddesg yn lle’r pwll twmffat, mae’r cwestiwn yn peidio â bod yn un ai’r rheol a daniodd ac yn dod yn un pa westeiwr a wnaeth y cais. Ymchwiliad gwahanol gyda pherchennog gwahanol yw hwnnw.

Mae hunaniaeth yn newid yn ogystal â chyfeiriadu

Mae’r cysylltiad ymlaen fel arfer yn dilysu fel tocyn y sesiwn, credensial wedi’i storio neu gyfrif gwasanaeth y cymhwysiad, ac mae’r adnodd yn cofnodi pa un a roddwyd iddo. Felly nid yw trywydd archwilio sy’n dangos cyfrif gwasanaeth ar y gronfa ddata yn profi bod dyn wedi rhedeg yr ymholiad. Nid yw ychwaith yn nodi’r dyn. Dim ond log sesiwn y ddesg ei hun sy’n cysylltu’r ddau gofnod.

Mae awdurdodi yn digwydd ddwywaith, ac mae’r ail benderfyniad yn cael ei wneud gyda mewnbynnau gwahanol. Mae’r cyntaf yn rhoi mewngofnod desg i ddefnyddiwr penodol, tra mae’r ail yn rhoi’r hyn y gall tocyn y defnyddiwr hwnnw neu gyfrif y cymhwysiad ei wneud i’r adnodd. Nid yw grŵp desg gymorth a gai agor desg yn awtomatig yn grŵp a gai ddarllen tabl cwsmeriaid.

Edrychwch ar y tocyn a’r llwybr dirprwyo cyn ysgrifennu’r nodyn mynediad. Mae’r ddau i’w gweld o du mewn y sesiwn, a dyna’r unig le nad yw’r ateb yn ddyfaliad.

whoami /groups
klist
query session

Os yw’r cymhwysiad yn defnyddio cyfrif gwasanaeth, ei hawliau ef sy’n cyfrif ymlaen. Mae cylchdroi’r credensial hwnnw yn perthyn i’r adolygiad mynediad, nid i ôl-feddwl gweithredol.

Pam mae’r llwybr uniongyrchol yn dal i fod wedi’i rwystro, a hynny’n gywir

Nid yw’r rheol gwrthod yn anghywir dim ond oherwydd bod modd cyrraedd y cyrchfan mewn ffordd arall. Mae segmentu’n cael ei werthuso fesul ffynhonnell, ac mae’r ddesg yn eistedd ar segment a ganiatawyd ymhell cyn i unrhyw un ei hystyried yn llwybr i’r gronfa ddata. Ni chafodd y polisi ei osgoi. Mae’r polisi yn syml yn disgrifio dwy ffynhonnell wahanol gyda dau ganlyniad gwahanol.

Yr hyn y mae’n rhaid i’r adolygiad ei ateb yw beth y gall pob sesiwn awdurdodedig ar y gwesteiwr hwnnw ei gychwyn. Mae porwyr â sesiynau wedi’u cadw, gyriannau wedi’u mapio, asiantau sy’n dal credensialau a gwasanaethau sy’n gwrando’n lleol i gyd yn ymestyn cyrhaeddiad y ddesg, ac nid oes yr un ohonynt yn ymddangos yn y tocyn a roddodd y mewngofnod. Y rhestr honno yw’r gwir arwyneb caniatâd.

Rhestrwch ef o du mewn sesiwn brawf, nid o daenlen. Mae llond llaw o orchmynion yn gorchuddio’r rhan fwyaf o’r arwyneb.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Dewiswch y ffin yn fwriadol

Mae tair siâp yn gweddu i wahanol dasgau, ac mae’r dewis i ddilyn y dasg yn hytrach na’r teclyn sy’n digwydd bodoli. Mae cymhwysiad cyhoeddedig yn datgelu un rhaglen gyda’i chaniatadau ei hun, mae desg lawn yn datgelu popeth y gall proffil y defnyddiwr ei wneud, ac mae cyfrif cronfa ddata cwmpas cyfyng gyda chyfyngiad ffynhonnell yn datgelu un adnodd heb ddesg o gwbl. Y siâp culaf sy’n dal i gwblhau’r gwaith sydd i’w dogfennu. Mae unrhyw beth lletach angen rheswm wedi’i ysgrifennu wrth ei ymyl.

Ar gyfer un adroddiad, mae cymhwysiad cyhoeddedig neu gyfrif cyfyngedig yn grant llai na desg gyffredinol. Ar gyfer cynnal a chadw sydd wir angen sawl teclyn, gallai’r ddesg fod yn iawn, ond yna mae’r cymeradwyaeth yn disgrifio’r gwesteiwr cyfan yn hytrach nag un cymhwysiad. Gofynnwch i berchennog yr adnodd pa un o’r rhain y maent yn cytuno iddo.

Mae symud data yn switsh ar wahân. Gall clipfwrdd, ailgyfeirio gyriannau a lawrlwythiadau gario data’r cwmni i’r cleient, ac nid yw rhedeg cymhwysiad o bell yn cadw data o bell ohono’i hun.

Gwiriwch y ddwy gymeradwyaeth a’r llwybr tynnu

Mae dwy gymeradwyaeth yn perthyn i’r cofnod: yr hawl i gyrraedd ac agor y ddesg, a’r hawl i ddefnyddio adnoddau o’i thu mewn. Enwch berchennog ar gyfer pob un a chadwch yr ail yn weladwy i bwy bynnag sy’n adolygu’r adnodd. Yr ail gofnod hwnnw yw’r un y bydd archwilydd yn gofyn amdano, oherwydd ei fod yn disgrifio cyrhaeddiad yn hytrach na mynediad. Ysgrifennwch y ddau cyn i’r newid gael ei gymeradwyo, nid ar ôl y digwyddiad cyntaf.

Yna profwch y tynnu, oherwydd gall sesiwn sydd wedi’i datgysylltu oroesi’r rheswm drosti. Y tabl sesiynau yw’r lle cyflymaf i weld beth sy’n dal i redeg.

query session
query user
qwinsta /server:rdsh01.corp.internal

Mae datgysylltu’r cleient yn gadael y sesiwn bell yn rhedeg, a gall ei chysylltiadau rhwydwaith a’i chredensialau wedi’u cache fod yn ddefnyddiadwy hyd nes y bydd y sesiwn honno’n gorffen. Mewngofnodwch allan, neu gorffenwch y sesiwn yn benodol, a chadarnhewch fod y cyfrifydd i lawr y llwybr yn peidio â symud wedyn. Nid yw prawf tynnu sy’n cau clawr y gliniadur yn unig yn profi dim. Rhedwch yr un prawf unwaith gyda’r cyfrif wedi’i analluogi ac unwaith gyda chaniatâd y ddesg wedi’i dynnu, yna cofnodwch beth a logiodd yr adnodd ym mhob achos.