Το RDP αλλάζει τον πελάτη: γιατί η βάση δεδομένων βλέπει άλλον κεντρικό υπολογιστή

Ο κανόνας VPN σας απορρίπτει τη βάση δεδομένων και το αίτημα κλείνει ως βλάβη τείχους προστασίας, ενώ ο ίδιος χρήστης ανοίγει μια δημοσιευμένη επιφάνεια εργασίας και εκτελεί ερωτήματα σε αυτή τη βάση χωρίς πρόβλημα. Και οι δύο δηλώσεις είναι αληθείς. Η επιφάνεια εργασίας είναι άλλος πελάτης, με δική της διεύθυνση σε τμήμα που οι κανόνες εμπιστεύονται ήδη, και με δική της ταυτότητα όταν συνδέεται παραπέρα. Αυτό που μοιάζει αντιφατικός κανόνας είναι συνήθως ένα δεύτερο αίτημα που κανείς δεν έβαλε στην εξέταση.

Το δεύτερο αίτημα έχει δική του διεύθυνση πελάτη

Όταν μια εφαρμογή μέσα στη συνεδρία ανοίγει σύνδεση στη βάση δεδομένων, η χειραψία TCP ξεκινά στον κεντρικό υπολογιστή της συνεδρίας. Η διεύθυνση προέλευσής της ανήκει στο δίκτυο αυτού του υπολογιστή, οπότε κάθε δρομολογητής και τείχος προστασίας της βάσης στη διαδρομή αξιολογεί το τμήμα της επιφάνειας εργασίας και όχι τη δεξαμενή σηράγγων από την οποία ήρθε το φορητό σας. Η διεύθυνση VPN δεν εμφανίζεται ποτέ σε αυτή τη ροή. Γι’ αυτό ένας κανόνας απόρριψης βάσει προέλευσης μπορεί να είναι ταυτόχρονα σωστός και άσχετος.

Διαβάστε την προέλευση μέσα από τη συνεδρία και όχι από το φορητό, έπειτα ελέγξτε την περαιτέρω διαδρομή από το ίδιο σημείο. Οι δύο απαντήσεις πρέπει να συμφωνούν για το ποιος υπολογιστής στέλνει το αίτημα.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Συγκρίνετε ό,τι αναφέρει η συνεδρία με τη διεύθυνση που κατέγραψε η βάση για την ίδια χρονική στιγμή. Όταν το αρχείο καταγραφής του διακομιστή δείχνει το υποδίκτυο της επιφάνειας εργασίας αντί της δεξαμενής σηράγγων, το ερώτημα παύει να είναι αν ενεργοποιήθηκε ο κανόνας και γίνεται ποιος υπολογιστής έκανε το αίτημα. Αυτή είναι άλλη έρευνα με άλλον υπεύθυνο.

Η ταυτότητα αλλάζει όπως και η διευθυνσιοδότηση

Η επόμενη σύνδεση συνήθως πιστοποιείται ως το διακριτικό της συνεδρίας, ως αποθηκευμένο διαπιστευτήριο ή ως λογαριασμός υπηρεσίας της εφαρμογής, και ο πόρος καταγράφει ό,τι του δόθηκε. Επομένως ένα ίχνος ελέγχου που δείχνει λογαριασμό υπηρεσίας στη βάση δεν αποδεικνύει ότι άνθρωπος εκτέλεσε το ερώτημα. Δεν προσδιορίζει ούτε τον άνθρωπο. Μόνο το αρχείο συνεδρίας της ίδιας της επιφάνειας εργασίας συνδέει τις δύο εγγραφές.

Η εξουσιοδότηση γίνεται δύο φορές και η δεύτερη απόφαση λαμβάνεται με διαφορετικά δεδομένα. Η πρώτη χορηγεί σύνδεση σε επιφάνεια εργασίας για επώνυμο χρήστη, ενώ η δεύτερη χορηγεί ό,τι μπορεί να κάνει στον πόρο το διακριτικό αυτού του χρήστη ή ο λογαριασμός της εφαρμογής. Μια ομάδα υποστήριξης που επιτρέπεται να ανοίγει επιφάνεια εργασίας δεν είναι αυτόματα ομάδα που επιτρέπεται να διαβάζει πίνακα πελατών.

Κοιτάξτε το διακριτικό και τη διαδρομή εκχώρησης πριν γράψετε το σημείωμα πρόσβασης. Και τα δύο είναι ορατά μέσα από τη συνεδρία και μόνο εκεί η απάντηση δεν είναι εικασία.

whoami /groups
klist
query session

Αν η εφαρμογή χρησιμοποιεί λογαριασμό υπηρεσίας, τα δικαιώματά του είναι αυτά που μετρούν παρακάτω. Η περιστροφή αυτού του διαπιστευτηρίου ανήκει στην εξέταση πρόσβασης, όχι σε μεταγενέστερη λειτουργική σκέψη.

Γιατί η άμεση διαδρομή εξακολουθεί να αποκλείεται, και σωστά

Ο κανόνας απόρριψης δεν είναι λάθος μόνο επειδή ο προορισμός είναι προσβάσιμος με άλλον τρόπο. Η κατάτμηση αξιολογείται ανά προέλευση και η επιφάνεια εργασίας βρίσκεται σε τμήμα που επιτράπηκε πολύ πριν κάποιος τη σκεφτεί ως διαδρομή προς τη βάση. Τίποτα δεν παρέκαμψε την πολιτική. Η πολιτική απλώς περιγράφει δύο διαφορετικές προελεύσεις με δύο διαφορετικά αποτελέσματα.

Η εξέταση πρέπει να απαντήσει τι μπορεί να ξεκινήσει κάθε εξουσιοδοτημένη συνεδρία σε αυτόν τον υπολογιστή. Προγράμματα περιήγησης με αποθηκευμένες συνεδρίες, αντιστοιχισμένοι δίσκοι, πράκτορες που κρατούν διαπιστευτήρια και υπηρεσίες που ακούν τοπικά επεκτείνουν όλα την εμβέλεια της επιφάνειας εργασίας και κανένα από αυτά δεν εμφανίζεται στο αίτημα που χορήγησε τη σύνδεση. Αυτή η απογραφή είναι η πραγματική επιφάνεια δικαιωμάτων.

Καταγράψτε την μέσα από δοκιμαστική συνεδρία, όχι από υπολογιστικό φύλλο. Λίγες εντολές καλύπτουν το μεγαλύτερο μέρος της επιφάνειας.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Διαλέξτε το όριο σκόπιμα

Τρία σχήματα ταιριάζουν σε διαφορετικές εργασίες και η επιλογή πρέπει να ακολουθεί την εργασία και όχι το εργαλείο που τυχαίνει να υπάρχει. Μια δημοσιευμένη εφαρμογή εκθέτει ένα πρόγραμμα με δικά του δικαιώματα, μια πλήρης επιφάνεια εργασίας εκθέτει ό,τι μπορεί να κάνει το προφίλ του χρήστη και ένας περιορισμένος λογαριασμός βάσης με περιορισμό προέλευσης εκθέτει έναν πόρο χωρίς καθόλου επιφάνεια εργασίας. Το στενότερο σχήμα που ολοκληρώνει ακόμη την εργασία είναι αυτό που πρέπει να τεκμηριωθεί. Κάθε ευρύτερο χρειάζεται αιτιολογία γραμμένη δίπλα του.

Για μία αναφορά, μια δημοσιευμένη εφαρμογή ή ένας περιορισμένος λογαριασμός είναι μικρότερη παραχώρηση από μια γενική επιφάνεια εργασίας. Για συντήρηση που χρειάζεται πραγματικά πολλά εργαλεία, η επιφάνεια εργασίας μπορεί να είναι σωστή, αλλά τότε η έγκριση περιγράφει ολόκληρο τον υπολογιστή και όχι μία εφαρμογή. Ρωτήστε τον ιδιοκτήτη του πόρου σε ποιο από αυτά συμφωνεί.

Η μετακίνηση δεδομένων είναι ξεχωριστός διακόπτης. Το πρόχειρο, η ανακατεύθυνση δίσκων και οι λήψεις μπορούν να μεταφέρουν εταιρικά δεδομένα στον πελάτη και η απομακρυσμένη εκτέλεση εφαρμογής δεν κρατά από μόνη της τα δεδομένα απομακρυσμένα.

Ελέγξτε και τις δύο εγκρίσεις και τη διαδρομή αφαίρεσης

Δύο εγκρίσεις ανήκουν στο αρχείο: το δικαίωμα να φτάσει κανείς και να ανοίξει την επιφάνεια εργασίας και το δικαίωμα να χρησιμοποιεί πόρους από μέσα της. Ονομάστε ιδιοκτήτη για καθεμία και κρατήστε τη δεύτερη ορατή σε όποιον εξετάζει τον πόρο. Εκείνη η δεύτερη εγγραφή είναι αυτή που θα ρωτήσει ένας ελεγκτής, γιατί περιγράφει εμβέλεια και όχι είσοδο. Γράψτε και τις δύο πριν εγκριθεί η αλλαγή, όχι μετά το πρώτο περιστατικό.

Έπειτα δοκιμάστε την αφαίρεση, γιατί μια αποσυνδεδεμένη συνεδρία μπορεί να επιβιώσει από τον λόγο της. Ο πίνακας συνεδριών είναι το ταχύτερο σημείο για να δείτε τι τρέχει ακόμη.

query session
query user
qwinsta /server:rdsh01.corp.internal

Η αποσύνδεση του πελάτη αφήνει την απομακρυσμένη συνεδρία σε λειτουργία και οι δικτυακές της συνδέσεις και τα προσωρινά διαπιστευτήρια μπορούν να παραμείνουν χρησιμοποιήσιμα έως ότου τελειώσει αυτή η συνεδρία. Αποσυνδεθείτε ή τερματίστε ρητά τη συνεδρία και επιβεβαιώστε ότι ο μετρητής παρακάτω σταματά να προχωρά μετά. Μια δοκιμή αφαίρεσης που μόνο κλείνει το καπάκι του φορητού δεν αποδεικνύει τίποτα. Κάντε την ίδια δοκιμή μία φορά με απενεργοποιημένο λογαριασμό και μία φορά με αφαιρεμένη την άδεια επιφάνειας εργασίας, έπειτα καταγράψτε τι κατέγραψε ο πόρος σε κάθε περίπτωση.