Urruneko mahaigaina VPN baten bidez: zein hutsegite dago?

Zure tunela martxan dago, barneko wikia kargatzen da, eta urruneko mahaigainak uko egiten dio oraindik konektatzeari. Konbinazio hori normala da, VPNak ostalarirako ibilbidea ematen duelako, mahaigaineko zerbitzuak entzun behar duen bitartean, bere suebakiak baimenduta eta kontua autentifikatzeko prest. Lau hutsegite fase daude tunel funtzional baten eta erabil daitekeen saio baten artean, eta bakoitzak mezu desberdin batekin huts egiten du. Irakurri mezua lehenengo, fasearen izena ematen duelako.

Bat diruditen lau hutsegite

Faseak ordenatuta daude: izena diseinuak aurreikusten duen helbide pribatura ebazten da, atakak TCP esku-ukaldiari erantzuten dio, ostalariak konexioa onartzen du bere politikaren arabera, eta saioaren hasierak arrakasta du. Fase bakoitzak hurrengoa probaezintsu bihurtzen du, horregatik sareak finkatu aurretik RDP ezarpenak aldatzeak zarata besterik ez du sortzen. Sintomak berdinak dirudite erabiltzailearen aldetik lau kasuetan. Bezeroaren mezuak soilik bereizten ditu.

Funtzionatzen duen barneko webgune batek ez du lauetako bat ere frogatzen. Sare bereko ostalari batek beste ataka batean beste zerbitzu batekin erantzun duela frogatzen du. Hartu hori bideratzearen inguruko ebidentzia gisa eta besterik ez.

Probatu ordenan eta idatzi emaitza. Atakari erantzun diolako saio-hasierako pantailara jauzi egitea da lehen urratsak dagoeneko lokalizatu duen suebaki arazo batean arratsalde osoa galtzeko modua.

Entzuten du ezerk 3389 atakan?

Hasi izenarekin, helbide okerrean ebazten den izenak geroagoko proba guztiak baliogabetzen dituelako. Galdetu tunelaren ebazleari zer esan nahi duen izenak, eta gero alderatu erantzuna diseinuak aurreikusten duen helbide pribatuarekin, ez erantzun arrakastatsu batekin. Helbide publikora ebazten den izena da arazo osoa, eta RDP aldaketarik ez du konponduko:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Ondoren probatu ataka, ez ostalaria. 3389-n osatutako TCP esku-ukaldiak irismena gainetik dagoen guztitik bereizten du:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Exekutatu proba hori LANetik eta tunelatik, bi emaitzen arteko aldea VPN ibilbidean lokalizatzen baitu hutsegitea. Bi suebaki daude ibilbidean eta erraz nahasten dira: sareak bezeroaren tunel helbidea ostalarira iristen utzi behar du, eta ostalariaren beraren suebakiak iturri bera baimendu behar du entzuten duen atakan. LAN azpisareari mugatutako arau batek ez du VPN bezero biltegia estaltzen, eta hori da erabiltzaile urrunek soilik jakinarazten duten denbora-mugaren arrazoi ohikoena. Egiaztatu arauaren irismena, ez haren existentzia.

Itzulerako ibilbideak kontrol bera merezi du. Erantzunek bezero biltegira itzultzeko ibilbidea behar dute, ez LANera, eta ostalariaren aurrean itzulpen batek zure erregistroak erakutsiko duen iturria aldatzen du. Atakak norabide batean erantzuten badu eta bestean ez, falta den erdia itzulerako ibilbidea izan ohi da.

Irakurri mezua konfigurazioa irakurri aurretik

Hirugarren fasea ostalariak konexioa bere politikaren arabera ukatzea da, eta hori sarritan berehala ireki eta ixten den ataka baten itxura du. Zerbaitek erantzun du, eta hori informazio erabilgarria da, ez isiltasuna. Esku-ukaldia osatu eta saioa berehala hil bazen, sarea ondo dago eta ostalariak erabakitzen du. Begiratu urruneko mahaigainaren baimenak sarea berriro ukitu aurretik.

Ezaugarria makinan gaituta egon daiteke, sarbidea talde zehatzetara mugatuta dagoen bitartean, eta entzulea zuk erabili duzun helbidea baztertzen duten moduetan lotuta egon daiteke. Sare mailako autentifikazioak mahaigaina kargatu aurretik huts egiten duen ate bat gehitzen du, eta haren errore-testua okerreko pasahitzarena ez bezalakoa da. Konparatu bezeroaren mezua ostalariaren gertaeren erregistroarekin, mezuak atea izendatzen baitu eta erregistroak kontua.

Saioaren hasiera muga propio da

Autentifikazioa mahaigaineko zerbitzuarena da, ez VPNarena. Tunelaren identitatea eta mahaigaineko kontua kredentzial bereiziak dira, blokeo-politika bereiziekin, beraz tunel funtzional batek tunelak zu onartu zaituela frogatzen du soilik. Mahaigaineko kontua blokeatzeak ez dio tunelari eragiten, eta alderantziz ere egia da.

Eduki biak osorik. Ibilbide pribatua falta denean, konpondu ibilbidea, entzulea interneten argitaratzeak irismen errore bat mahaigain ageri baten truke ematen baitu. Ez ahuldu saioaren identitate-kontrolak, aldi berean agertu den ziurtagiri-abisu bat gainditzeko ere. RDP entzule batean auto-sinatutako ziurtagiriak abisu bat sortzen du diseinuz, beraz hura onartzea erabakia da, ez urratsa.

Zenbatu saiakera berria egin aurretik. Mahaigaineko blokeo-atariak saio-hasiera hutsegiteak VPN hutsegiteetatik bereizita zenbatzen ditu, eta tenporizadorearekin berriro saiatzen den bezero bat ataria gaindi dezake araua oraindik editatzen ari zaren bitartean. Pasahitza aldatu osteko kontuak blokeatzen dituen saiakera paraleloen mekanismo bera da.

Zer mugi dezakeen saioak, eta non geratzen den

Ikasi onartutako saioa amaitzeko fluxua behar duzun aurretik. Leihoa ixteak ikuspegia soilik deskonekta dezake saioa bere politika konfiguratuaren arabera martxan jarraitzen duen bitartean, eta hori garrantzitsua da partekatutako edo auditaturiko ostalari batean. Amaitu saioa barrutik politikak hori espero duenean.

Ondoren erabaki zer eraman dezakeen saioak, arbelak, berbideratutako unitateek, inprimagailuaren berbideratzeak eta fitxategi-transferentziak datuak tokiko eta urruneko sistemen artean mugitzen baitituzte politikak baimentzen duen tokian. Beste aldean exekutatzen den argitaratutako aplikazio bat ez da automatikoki deskarga gabeko muga, eta irakurtzeko soilik dirudien saio batek arbela eraman dezake oraindik. Probatu benetako zeregina, ez konexioa: ireki fitxategia, erabili aplikazioa eta berretsi behar duzun berbideratzea. Kanpotik urruneko mahaigain batera iristeko Microsoften gidalerroak onartutako esposizio-aukerak deskribatzen ditu, eta presiopean gehitutako entzule publiko bat baino erreferentzia hobea da.