Πρόσβαση VPN χωρίς δικαιώματα απομακρυσμένης επιφάνειας εργασίας: τέσσερις ξεχωριστές πύλες

Ένας χρήστης συνδέεται στο VPN, ανοίγει έναν κοινόχρηστο φάκελο και μια εσωτερική εφαρμογή, και έπειτα μια απόπειρα RDP επιστρέφει «ο λογαριασμός χρήστη δεν είναι εξουσιοδοτημένος για απομακρυσμένη σύνδεση». Σε αυτό το μήνυμα δεν υπάρχει τίποτα λάθος με τη σήραγγα. Τέσσερις ανεξάρτητες πύλες στέκονται ανάμεσα σε έναν λογαριασμό VPN και μια διαδραστική επιφάνεια εργασίας, και μόνο η τελευταία το προκάλεσε. Οι άνθρωποι συνήθως προσθέτουν τον λογαριασμό στους Administrators, κάτι που παρέχει πολύ περισσότερα από την επιφάνεια εργασίας και δεν διορθώνει την πύλη αν η πολιτική ομάδας την αρνείται. Εδώ είναι τι κάνει στην πραγματικότητα κάθε πύλη και πώς να αλλάξετε μόνο εκείνη που αρνείται.

Τέσσερις πύλες σε σταθερή σειρά

Η πύλη αποφασίζει πρώτα αν η ταυτότητα μπορεί να στήσει σήραγγα: πολιτική RADIUS, συνθήκη ομάδας, έλεγχος πιστοποιητικού, άδεια Access Server. Έπειτα η δρομολόγηση και τα τείχη προστασίας αποφασίζουν αν το πακέτο από τη δεξαμενή της σήραγγας φτάνει στον ακροατή TCP 3389 του προορισμού. Έπειτα η χειραψία NLA του πελάτη πιστοποιεί τον λογαριασμό απέναντι στον προορισμό. Μόνο μετά από αυτά τα τρία η τοπική αρχή ασφαλείας ελέγχει αν ο λογαριασμός έχει το δικαίωμα σύνδεσης που απαιτεί μια διαδραστική απομακρυσμένη συνεδρία.

Επειδή η σειρά είναι σταθερή, κάθε πύλη κρύβει όσες βρίσκονται πίσω της. Μια αποτυχημένη σήραγγα δεν λέει τίποτα για τη δρομολόγηση· μια κλειστή θύρα δεν λέει τίποτα για το δικαίωμα σύνδεσης· μια επιτυχημένη δοκιμή θύρας δεν λέει τίποτα για την αποδοχή. Γι' αυτό το «το VPN δουλεύει αλλά το RDP όχι» δεν είναι ένα πρόβλημα αλλά ένα σύνορο ανάμεσα σε δύο από αυτές τις πύλες, και γι' αυτό το κείμενο του σφάλματος είναι ο ταχύτερος τρόπος να καταλάβετε σε ποια πέσατε.

Το δικαίωμα που πράγματι απορρίπτει τη συνεδρία

Η σύνδεση στην απομακρυσμένη επιφάνεια εργασίας απαιτεί το δικαίωμα χρήστη Να επιτρέπεται η σύνδεση μέσω Υπηρεσιών απομακρυσμένης επιφάνειας εργασίας, SeRemoteInteractiveLogonRight. Ελέγχεται κατά τη σύνδεση, όχι κατά τη δημιουργία της σήραγγας, γι' αυτό ένας λογαριασμός μπορεί να περιηγείται στο δίκτυο για ώρες και να του αρνείται ακόμη μια επιφάνεια εργασίας. Ο διάλογος που το δείχνει βρίσκεται στις Τοπικές πολιτικές, Εκχώρηση δικαιωμάτων χρήστη, και το αντίστοιχο τομέα βρίσκεται σε GPO.

Η προεπιλεγμένη συμμετοχή εξαρτάται από τον ρόλο του μηχανήματος: οι σταθμοί εργασίας και οι διακομιστές μέλη το δίνουν στους Administrators και Remote Desktop Users, ενώ ένας ελεγκτής τομέα μόνο στους Administrators. Αυτό το ένα γεγονός εξηγεί το μεγαλύτερο μέρος της σύγχυσης, γιατί ο ίδιος λογαριασμός πετυχαίνει σε διακομιστή αρχείων και αποτυγχάνει σε DC. Ένα δικαίωμα άρνησης νικά το αντίστοιχο δικαίωμα άδειας ανεξάρτητα από τη συμμετοχή σε ομάδα, οπότε λογαριασμός που έχει και άδεια και άρνηση απορρίπτεται. Μια ευρεία ομάδα άρνησης μπορεί να πιάσει διαχειριστή που προστέθηκε για χάρη.

Διαβάστε την ενεργή πολιτική, όχι τον τοπικό διάλογο

Η τοπική πολιτική αντικαθίσταται από κάθε GPO τομέα που ορίζει το ίδιο δικαίωμα, οπότε το τοπικό snap-in μπορεί να δείχνει σωστή λίστα ενώ η ενεργή κατάσταση είναι διαφορετική. Εξαγάγετε τι εφαρμόζει πραγματικά το μηχάνημα, μετά αναζητήστε το δικαίωμα και διαβάστε τα SID αντί για τα εμφανιζόμενα ονόματα:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Σε αυτή την έξοδο, το *S-1-5-32-544 είναι Administrators και το *S-1-5-32-555 είναι Remote Desktop Users.

Αν δεν εμφανιστεί κανένα, κανείς εκτός από κάτοχο πολιτικής δεν μπορεί να ανοίξει επιφάνεια εργασίας, ό,τι κι αν υποδεικνύει ο τοπικός διάλογος χρηστών και ομάδων. Τότε το gpresult ονομάζει το GPO που κέρδισε, και αυτό είναι το αντικείμενο που πρέπει να επεξεργαστείτε· η αλλαγή τοπικής πολιτικής σε μηχάνημα ενωμένο σε τομέα είναι δοκιμή, όχι διόρθωση.

Δώστε το στενότερο δικαίωμα που ταιριάζει

Η συνηθισμένη απάντηση είναι η ομάδα Remote Desktop Users στον προορισμό. Φέρει το δικαίωμα εξ ορισμού, είναι πολύ μικρότερη από τους Administrators και χωρίζει το «μπορεί να ανοίξει επιφάνεια εργασίας» από το «μπορεί να διαχειριστεί τον διακομιστή». Όπου η πολιτική έχει αναθέσει ρητά το δικαίωμα, προσθέστε την ομάδα ή τον λογαριασμό σε εκείνη την πολιτική αντί να προσθέσετε ομάδα που κανείς δεν σκόπευε ως έλεγχο πρόσβασης.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Ελέγξτε τη λίστα άρνησης πριν προσθέσετε οτιδήποτε. Αν ένα δικαίωμα άρνησης ονομάζει ομάδα που περιέχει τον χρήστη, η σωστή αλλαγή είναι να αφαιρέσετε τον λογαριασμό από εκείνη την ομάδα ή να περιορίσετε την άρνηση, όχι να προσθέσετε δεύτερη άδεια αλλού. Καταγράψτε ποιο δικαίωμα αλλάξατε και πού, γιατί αργότερα μια ανανέωση GPO θα επαναφέρει σιωπηλά την προηγούμενη κατάσταση και το δελτίο θα ανοίξει ξανά με το ίδιο μήνυμα.

Κρατήστε τη διαδρομή δικτύου ξεχωριστή απόφαση

Η ομάδα VPN δεν χρειάζεται να φτάνει σε κάθε θύρα. Όταν μια ομάδα χρειάζεται εφαρμογή και όχι επιφάνεια εργασίας, ένας κανόνας τείχους προστασίας περιορισμένος στη δεξαμενή της σήραγγας και στη θύρα της εφαρμογής δίνει ισχύ σε αυτή την πολιτική, ενώ το δικαίωμα σύνδεσης μένει άθικτο.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Η δική του ρύθμιση του OpenVPN ανά πελάτη και τα δικαιώματα ομάδων του Access Server μπορούν να περιορίσουν τα προθέματα προορισμού με το ίδιο πνεύμα· κανένα από τα δύο δεν παρέχει δικαίωμα σύνδεσης Windows, και ένα δικαίωμα σύνδεσης δεν μπορεί να ανοίξει θύρα. Κρατήστε τα σε ξεχωριστά παράθυρα αλλαγών, γιατί ένας κανόνας θύρας και ένα δικαίωμα εγκρίνονται από διαφορετικούς ανθρώπους.

Επαληθεύστε με τη σειρά που εφαρμόζονται οι πύλες: μπορεί ο λογαριασμός να στήσει τη σήραγγα, φτάνει η συνεδρία στον ακροατή, πιστοποιείται ο πελάτης και έχει ο λογαριασμός το δικαίωμα. Ένα ping που αποτυγχάνει ενώ η δοκιμή θύρας πετυχαίνει είναι τείχος προστασίας που απαντά διαφορετικά στο ICMP, όχι απόδειξη ότι το RDP είναι μπλοκαρισμένο. Η αναφορά της Microsoft για το δικαίωμα σύνδεσης απαριθμεί τις προεπιλογές ανά ρόλο μηχανήματος και τον κανόνα ότι η άρνηση υπερισχύει της άδειας.