Η προσθήκη κανόνα αποδοχής για RDP δεν περιορίζει την πρόσβασή σας μέσω VPN

Το σχέδιο ακούγεται λογικό: αφήστε την υπάρχουσα άδεια για Απομακρυσμένη επιφάνεια εργασίας ως έχει και προσθέστε μια μικρή για τον μοναδικό πελάτη VPN που πρέπει να έχει πρόσβαση. Το Windows Firewall δεν λειτουργεί έτσι. Οι κανόνες δεν είναι μια διατεταγμένη λίστα όπου κερδίζει η πιο συγκεκριμένη καταχώριση, και μια στενή άδεια δίπλα σε μια ευρεία δεν αλλάζει τίποτα, γιατί η ευρεία εξακολουθεί να επιτρέπει σε όλους όσους ήδη επέτρεπε. Το στένωμα της υπηρεσίας σημαίνει επεξεργασία της άδειας που κάνει ήδη τη δουλειά.

Ο κανόνας που προσθέτετε δεν είναι ο κανόνας που έχει σημασία

Το Windows Firewall αξιολογεί όλους τους ισχύοντες κανόνες εισερχόμενων στους χώρους αποθήκευσης πολιτικής που ισχύουν για τον υπολογιστή και μετά αποφασίζει αν ταιριάζει κάποια άδεια και αν κάποια απαγόρευση την υπερισχύει. Η προσθήκη κανόνα προσθέτει άδεια· δεν αφαιρεί ούτε περιορίζει τις άδειες που υπάρχουν ήδη.

Επομένως το ερώτημα δεν είναι ποτέ τι προσθέσατε. Είναι τι περιέχει η ενεργή πολιτική αφού συγχωνευτούν η τοπική πολιτική, η πολιτική τομέα και οι προεπιλογές του προφίλ. Ένας σταθμός εργασίας με έναν τοπικό κανόνα συλλογίζεται εύκολα· ένας διακομιστής ενταγμένος σε τομέα όχι.

Γι' αυτό επίσης ένας διαχειριστής μπορεί να κάνει μια αλλαγή που φαίνεται σωστή, να τη δοκιμάσει από λάθος μηχάνημα και να συμπεράνει ότι λειτούργησε. Η εξαιρεθείσα πηγή δεν δοκιμάστηκε ποτέ. Ένα τεστ που αποδεικνύει μόνο επιτυχία αποδεικνύει λιγότερο από το μισό αυτού για το οποίο γινόταν η αλλαγή.

Βρείτε ποια διεύθυνση βλέπει ο διακομιστής

Πριν περιορίσετε οτιδήποτε, παρατηρήστε μία επιτρεπόμενη συνεδρία στον κεντρικό υπολογιστή Windows και καταγράψτε τη διεύθυνση προέλευσης που αναφέρει ο διακομιστής. Δεν είναι πάντα η διεύθυνση που ο πελάτης νομίζει ότι έχει.

Αν η πύλη VPN διατηρεί τις διευθύνσεις των πελατών, ο διακομιστής βλέπει τη διεύθυνση σήραγγας του πελάτη και ένας κανόνας με περιορισμό διεύθυνσης έχει νόημα. Αν η πύλη μεταφράζει, κάθε πελάτης φτάνει ως η διεύθυνση της πύλης και ο περιορισμός σε αυτή τη διεύθυνση δίνει πρόσβαση σε κάθε πελάτη πίσω της. Τότε ο κανόνας είναι ακριβής ως προς το λάθος πράγμα.

Αυτά τα δύο σχέδια χρειάζονται διαφορετικές απαντήσεις. Το πρώτο μπορεί να εκφραστεί σε έναν κανόνα τείχους προστασίας· το δεύτερο πρέπει να επιβληθεί εκεί όπου η ταυτότητα υπάρχει ακόμη, δηλαδή στο ίδιο το VPN ή σε μια πιστοποιημένη πύλη μπροστά από την υπηρεσία.

Ένα φίλτρο τείχους προστασίας δεν μπορεί να ανακτήσει ταυτότητα που πέταξε η μετάφραση δικτύου, όσο προσεκτικά κι αν πληκτρολογήθηκε η διεύθυνση.

Αλλάξτε τον κάτοχο του ενεργού κανόνα

Επιθεωρήστε την ενεργή εισερχόμενη πολιτική και βρείτε κάθε κανόνα που επιτρέπει σήμερα κίνηση RDP, συμπεριλαμβανομένων κανόνων των οποίων το εμφανιζόμενο όνομα δεν αναφέρει ποτέ τη θύρα 3389. Μετρούν και οι κανόνες που περιορίζονται σε υπηρεσία ή εφαρμογή, όπως και η μεταφορά UDP που ενεργοποιούν ορισμένες αναπτύξεις RDP.

Έπειτα επεξεργαστείτε τους υπάρχοντες κανόνες μέσω του χώρου αποθήκευσης που τους κατέχει. Μια τοπική αλλαγή σε κανόνα που ορίζει και η πολιτική τομέα μπορεί να συγχωνευτεί, να αγνοηθεί ή να αντικατασταθεί, και αξίζει να ξέρετε ποιο από αυτά συμβαίνει πριν βασιστείτε σε αυτόν.

Αυτές οι εντολές βρίσκουν τους ενεργούς κανόνες, δείχνουν το φίλτρο διευθύνσεων που συνδέεται με έναν από αυτούς και προεπισκοπούν μια αλλαγή εύρους:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Τα ονόματα κανόνων εδώ είναι υποκαταστάτες για ό,τι βρήκε ο έλεγχος, και η σημαία προεπισκόπησης υπάρχει ώστε ένα τυπογραφικό λάθος σε διεύθυνση να μη σας κλειδώσει έξω από τον διακομιστή που επεξεργάζεστε.

Πρώτα απαγόρευση, μετά άδεια είναι διαφορετικό μοντέλο

Η συνήθεια από άλλα τείχη προστασίας είναι να γράφετε μια ευρεία απαγόρευση και μετά μια στενή άδεια πάνω από αυτήν. Στα Windows μια ρητή απαγόρευση κερδίζει γενικά έναντι μιας άδειας, οπότε αυτή η σειρά παράγει μια υπηρεσία που κανείς δεν μπορεί να φτάσει αντί για μια εξαίρεση για έναν πελάτη. Το αποτέλεσμα είναι μια διακοπή που μοιάζει με χαλασμένη υπηρεσία RDP. Είναι στην πραγματικότητα λάθος προτεραιότητας, και η διόρθωση είναι να αφαιρέσετε την απαγόρευση αντί να προσθέσετε άλλη άδεια.

Κρατήστε την προεπιλεγμένη συμπεριφορά αποκλεισμού εισερχόμενων στα ενεργά προφίλ και περιορίστε αντ' αυτού τις συγκεκριμένες άδειες. Έτσι το μηχάνημα μένει με μια κατανοητή στάση αντί για δύο αντιφατικούς κανόνες των οποίων η αλληλεπίδραση εξαρτάται από λεπτομέρειες προτεραιότητας.

Αποδείξτε το με δεύτερη πηγή

Δοκιμάστε από τον επιτρεπόμενο πελάτη και από μια πηγή που τώρα θα πρέπει να αποτύχει. Μία μόνο επιτυχημένη σύνδεση αποδεικνύει μόνο ότι η επιτρεπόμενη διαδρομή λειτουργεί· δεν λέει τίποτα για τον αποκλεισμό που μόλις κάνατε.

Επαναλάβετε τη δοκιμή μέσω IPv6 αν ο διακομιστής το έχει ενεργοποιημένο, γιατί μια πρόθεση μόνο για IPv4 μπορεί να συνυπάρχει με μια ευρεία άδεια IPv6 που κανείς δεν κοίταξε.

Τέλος, κρατήστε την αυθεντικοποίηση χωριστά από την προσβασιμότητα. Η αυθεντικοποίηση σε επίπεδο δικτύου, τα δικαιώματα λογαριασμού και οι περιορισμοί σύνδεσης εξακολουθούν να αποφασίζουν ποιος μπορεί να χρησιμοποιήσει τη συνεδρία, και το τείχος προστασίας αποφασίζει μόνο ποιος μπορεί να ρωτήσει. Η αφαίρεση μιας συσκευής αργότερα θα πρέπει να αφαιρεί και την εγγραφή της στο VPN και αυτή την άδεια δικτύου, αλλιώς η διεύθυνση που περιορίσατε θα ανήκει κάποτε σε κάποιον άλλο.