Mynediad VPN heb hawliau bwrdd gwaith o bell: pedair clwyd ar wahân

Mae defnyddiwr yn cysylltu â’r VPN, yn agor rhannu ffeil a chymhwysiad mewnol, ac yna mae ymgais RDP yn dychwelyd «nid yw’r cyfrif defnyddiwr wedi’i awdurdodi ar gyfer mewngofnodi o bell». Nid oes dim o’i le ar y twmffat yn y neges honno. Mae pedair clwyd annibynnol rhwng cyfrif VPN a bwrdd gwaith rhyngweithiol, a dim ond yr un olaf a’i cynhyrchodd. Mae pobl fel arfer yn ymateb drwy ychwanegu’r cyfrif at Administrators, sy’n rhoi llawer mwy na’r bwrdd gwaith ac nad yw’n trwsio’r glwyd os yw Polisi Grŵp yn ei gwrthod. Dyma beth mae pob clwyd yn ei wneud mewn gwirionedd, a sut i newid dim ond yr un sy’n gwrthod.

Pedair clwyd mewn trefn sefydlog

Mae’r porth yn penderfynu yn gyntaf a all y hunaniaeth sefydlu twmffat o gwbl: polisi RADIUS, amod grŵp, gwiriad tystysgrif, caniatâd Access Server. Yna mae llwybro a muriau tân yn penderfynu a yw’r pecyn o bwll y twmffat yn cyrraedd gwrandawr TCP 3389 y gyrchfan. Yna mae sgwyd llaw NLA y cleient yn dilysu’r cyfrif yn erbyn y gyrchfan. Dim ond ar ôl y tri hynny y mae’r awdurdod diogelwch lleol yn gwirio a oes gan y cyfrif yr hawl mewngofnodi y mae sesiwn bell ryngweithiol yn ei gofyn.

Gan fod y drefn yn sefydlog, mae pob clwyd yn cuddio’r rhai sydd y tu ôl iddi. Nid yw twmffat sydd wedi methu yn dweud dim am lwybro; nid yw porth sydd wedi’i rwystro yn dweud dim am yr hawl mewngofnodi; nid yw prawf porth llwyddiannus yn dweud dim am dderbyniad. Dyna pam nad yw «mae’r VPN yn gweithio ond nid yw RDP» yn un broblem ond yn ffin rhwng dwy o’r clwydi hyn, a dyna pam mai testun y gwall yw’r ffordd gyflymaf i ddweud pa un y gwnaethoch ei tharo.

Yr hawl sy’n gwrthod y sesiwn mewn gwirionedd

Mae mewngofnodi i’r bwrdd gwaith o bell yn gofyn am yr hawl defnyddiwr Caniatáu mewngofnodi drwy wasanaethau bwrdd gwaith o bell, SeRemoteInteractiveLogonRight. Mae’n cael ei wirio wrth fewngofnodi, nid wrth sefydlu’r twmffat, a dyna pam y gall cyfrif bori’r rhwydwaith am oriau ac eto cael ei wrthod rhag bwrdd gwaith. Mae’r deialog sy’n ei ddangos o dan Bolisïau Lleol, Neilltuo Hawliau Defnyddwyr, ac mae’r cyfatebol parth yn GPO.

Mae aelodaeth ddiofyn yn dibynnu ar rôl y peiriant: mae gorsafoedd gwaith a gweinyddion aelod yn ei rhoi i Administrators a Remote Desktop Users, tra bod rheolydd parth yn ei roi i Administrators yn unig. Mae’r ffaith honno ar ei phen ei hun yn esbonio’r rhan fwyaf o’r dryswch, oherwydd mae’r un cyfrif yn llwyddo ar weinydd ffeiliau ac yn methu ar DC. Mae hawl gwrthod yn curo’r hawl caniatáu cyfatebol waeth beth fo aelodaeth grŵp, felly mae cyfrif sydd ar yr un pryd wedi’i ganiatáu a’i wrthod yn cael ei wrthod. Gall grŵp gwrthod eang ddal gweinyddwr a ychwanegwyd fel cymwynas.

Darllenwch y polisi effeithiol, nid y deialog lleol

Mae polisi lleol yn cael ei ddiystyru gan unrhyw GPO parth sy’n diffinio’r un hawl, felly gall y snap-in lleol ddangos rhestr sy’n edrych yn gywir tra bod y cyflwr effeithiol yn wahanol. Allforiwch yr hyn y mae’r peiriant yn ei gymhwyso mewn gwirionedd, yna chwiliwch am yr hawl a darllenwch y SIDs yn hytrach na’r enwau arddangos:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Yn yr allbwn hwnnw, *S-1-5-32-544 yw Administrators ac *S-1-5-32-555 yw Remote Desktop Users.

Os nad yw’r naill na’r llall yn ymddangos, ni all neb heblaw deiliad polisi agor bwrdd gwaith, beth bynnag y mae’r deialog Defnyddwyr a Grwpiau lleol yn ei awgrymu. Yna mae gpresult yn enwi’r GPO a enillodd, a dyna’r gwrthrych y mae’n rhaid i chi ei olygu; mae newid polisi lleol ar beiriant sydd wedi’i ymuno â pharth yn brawf, nid yn atgyweiriad.

Rhowch yr hawl gulaf sy’n ddigon

Yr ateb arferol yw’r grŵp Remote Desktop Users ar y gyrchfan. Mae’n cario’r hawl yn ddiofyn, mae’n llawer llai nag Administrators, ac mae’n gwahanu «cael agor bwrdd gwaith» oddi wrth «cael rheoli’r gweinydd». Lle mae polisi wedi ailddyrannu’r hawl yn benodol, ychwanegwch y grŵp neu’r cyfrif at y polisi hwnnw yn lle ychwanegu grŵp nad oedd neb wedi’i fwriadu fel rheolaeth mynediad.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Gwiriwch y rhestr gwrthod cyn i chi ychwanegu unrhyw beth. Os yw hawl gwrthod yn enwi grŵp sy’n cynnwys y defnyddiwr, y newid cywir yw tynnu’r cyfrif o’r grŵp hwnnw neu gulhau’r gwrthod, nid ychwanegu ail ganiatâd rywle arall. Cofnodwch pa hawl y gwnaethoch ei newid a ble, oherwydd bydd adnewyddiad GPO diweddarach yn adfer y cyflwr blaenorol yn dawel a bydd y tocyn yn ailagor gyda’r un neges.

Cadwch y llwybr rhwydwaith yn benderfyniad ar wahân

Nid oes rhaid i’r grŵp VPN gyrraedd pob porth. Pan fydd grŵp angen cymhwysiad ac nid bwrdd gwaith, mae rheol mur tân sydd wedi’i chyfyngu i bwll y twmffat a phorth y cymhwysiad yn rhoi effaith i’r polisi hwnnw, tra bod yr hawl mewngofnodi yn aros heb ei chyffwrdd.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Gall ffurfweddiad OpenVPN fesul cleient a chaniatadau grŵp Access Server gyfyngu’r rhagddodiadau cyrchfan yn yr un ysbryd; nid oes yr un ohonynt yn rhoi hawl mewngofnodi Windows, ac ni all hawl mewngofnodi agor porth. Cadwch hwy mewn ffenestri newid ar wahân, oherwydd mae rheol porth a hawl yn cael eu cymeradwyo gan wahanol bobl.

Gwiriwch yn yr un drefn ag y mae’r clwydi’n gymwys: a all y cyfrif sefydlu’r twmffat, a all y sesiwn gyrraedd y gwrandawr, a yw’r cleient yn dilysu, ac a oes gan y cyfrif yr hawl. Mae ping sy’n methu tra bod y prawf porth yn llwyddo yn fur tân sy’n ateb yn wahanol i ICMP, nid yn brawf bod RDP wedi’i rwystro. Mae cyfeirlyfr hawl mewngofnodi Microsoft yn rhestru’r diofynion fesul rôl peiriant a’r rheol bod gwrthod yn curo caniatâd.