RDPrako baimen-arau bat gehitzeak ez du zure VPN sarbidea murrizten

Plana zentzuzkoa dirudi: utzi Lehen Urruneko Mahaigainerako lehendik dagoen baimena eta gehitu txiki bat sarbidea izan behar duen VPN bezero bakarrarekin. Windows Firewall ez da horrela funtzionatzen. Arauak ez dira sarrerarik zehatzena irabazten duen zerrenda ordenatua, eta baimen estua baimen zabalaren ondoan ez du ezer aldatzen, zabalaren bideak oraindik onartzen dituen guztiak onartzen jarraitzen duelako. Zerbitzua estutzeak dagoeneko lana egiten duen baimena editatzea esan nahi du.

Gehitzen duzun araua ez da axola duen araua

Windows Firewall-ek makinari dagozkion politika biltegietako sarrerako arau aplikagarri guztiak ebaluatzen ditu, eta gero erabakitzen du baimenen bat datorren eta blokeoren batek gainditzen duen. Arau bat gehitzeak baimen bat gehitzen du; ez ditu jada dauden baimenak kentzen edo zehazten.

Beraz, galdera ez da inoiz zer gehitu duzun. Galdera politika eraginkorrak zer daukan da, politika lokala, domeinu-politika eta profileko balio lehenetsiak batu ondoren. Arau lokal bat duen lan-estazio bat erraza da pentsatzen; domeinu batera lotutako zerbitzari bat ez.

Horregatik ere administratzaile batek itxura oneko aldaketa bat egin dezake, makina okerretik probatu eta funtzionatu duela ondorioztatu. Baztertutako iturria ez zen inoiz probatu. Arrakasta soilik frogatzen duen probak aldaketaren helburuaren erdia baino gutxiago frogatzen du.

Jakin zerbitzariak zein helbide ikusten duen

Ezer mugatu aurretik, behatu baimendutako saio bat Windows ostalarian eta idatzi zerbitzariak ematen duen iturburu-helbidea. Ez da beti bezeroak duela uste duen helbidea.

VPN ateak bezeroen helbideak gordetzen baditu, zerbitzariak bezeroaren tunel-helbidea ikusten du, eta helbidez mugatutako arauak zentzua du. Ateak helbideak itzultzen baditu, bezero bakoitza atearen helbide gisa iristen da, eta helbide horretara mugatzeak haren atzean dagoen bezero orori ematen dio sarbidea. Orduan araua gauza okerrean da zehatza.

Bi diseinu horiek erantzun desberdinak behar dituzte. Lehenengoa suebakiko arau batean adieraz daiteke; bigarrena identitatea oraindik existitzen den lekuan bete behar da, hau da, VPNan bertan edo zerbitzuaren aurreko ate autentifikatu batean.

Suebakiko iragazkiak ezin du sareko itzulpenak baztertutako identitaterik berreskuratu, helbidea zein arretaz idatzi den ere.

Aldatu arau eraginkorraren jabea

Aztertu sarrerako politika eraginkorra eta aurkitu gaur egun RDP trafikoa onartzen duen arau bakoitza, erakutsitako izenak inoiz 3389 portua aipatzen ez duten arauak barne. Zerbitzuaren eta aplikazioaren arabera mugatutako arauak ere zenbatzen dira, eta RDP inplementazio batzuek gaitzen duten UDP garraioa ere bai.

Gero editatu dauden arauak haiek dituen biltegiaren bidez. Domeinu-politikak ere definitzen duen arau baten tokiko edizioa bateratu, baztertu edo gainidatzi egin daiteke, eta horietatik zein gertatzen den jakitea merezi du harengan fidatu aurretik.

Komando hauek arau aktiboak aurkitzen dituzte, horietako bati lotutako helbide-iragazkia erakusten dute eta esparru-aldaketa aurrebistaratzen dute:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Hemen arau-izenak berrikuspenak aurkitutakoaren ordezkoak dira, eta aurrebista-marka hor dago helbide bateko txartipeak zerbitzaritik kanpo ez zaitzan utz dadin, editatzen ari zaren zerbitzaria.

Lehenengo blokeatu eta gero baimendu beste eredu bat da

Beste suebaki batzuetako ohitura blokeo zabal bat idaztea da eta gero baimen estu bat haren gainean. Windowsen blokeo esplizituak baimena gainditzen du oro har, beraz ordena horrek inork iritsi ezin duen zerbitzu bat sortzen du, bezero bakarrerako salbuespen bat beharrean. Emaitza RDP zerbitzu hondatua dirudien eten bat da. Egia esan, lehentasun-errore bat da, eta konponbidea blokeoa kentzea da, beste baimen bat gehitzea beharrean.

Mantendu sarrerako blokeo-portaera lehenetsia profil aktiboetan eta estutu baimen zehatzak. Horrek makina jarrera ulergarri batekin uzten du, bi arau kontraesankorren ordez, haien elkarreragina lehentasun-zehetasunen mende dagoena.

Frogatu bigarren iturri batekin

Probatu baimendutako bezerotik eta orain huts egin behar duen iturri batetik. Konexio arrakastatsu bakar batek baimendutako bidea funtzionatzen duela soilik frogatzen du; orain egin duzun bazterketari buruz ez du ezer esaten.

Errepikatu proba IPv6 bidez zerbitzariak gaituta badu, IPv4 soilerako asmoa inork begiratu ez duen IPv6 baimen zabal batekin batera egon baitaiteke.

Azkenik, eduki autentifikazioa irisgarritasunetik bereizita. Sare-mailako autentifikazioak, kontu-eskubideek eta saioa hasteko murrizketek oraindik erabakitzen dute nork erabil dezakeen saioa, eta suebakiak soilik erabakitzen du nork galdetu dezakeen. Gailu bat geroago kentzeak haren VPN erregistroa eta sare-baimen hau kendu behar ditu, bestela mugatu duzun helbidea noizbait beste norbaitentzat izango da.