VPN sarbidea urruneko mahaigaineko eskubiderik gabe: lau ate bereizi

Erabiltzaile batek VPNra konektatzen du, fitxategi-partekatze bat eta barne-aplikazio bat irekitzen ditu, eta gero RDP saiakera batek «erabiltzaile-kontuak ez du urruneko saioa hasteko baimenik» itzultzen du. Mezu horretan ez dago ezer gaizki tunelarekin. Lau ate independente daude VPN kontu baten eta mahaigain interaktibo baten artean, eta azkenak soilik sortu zuen. Jendeak normalean kontua Administrators-era gehitzen du, mahaigaina baino askoz gehiago ematen du eta ez du atea konpontzen talde-politikak ukatzen badu. Hona hemen ate bakoitzak benetan egiten duena eta ukatzen duen atea soilik nola aldatu.

Lau ate ordena finkoan

Pasabideak lehenengo erabakitzen du identitateak tunel bat eraiki dezakeen: RADIUS politika, talde-baldintza, ziurtagiri-egiaztapena, Access Server baimena. Gero bideratzeak eta suebakiek erabakitzen dute tunel-pooltik datorren paketea helburuaren TCP 3389 entzulearengana iristen den. Gero bezeroaren NLA esku-emateak kontua helburuaren aurka autentifikatzen du. Hiru horien ondoren soilik tokiko segurtasun-agintaritzak egiaztatzen du kontuak saio interaktibo urrun batek eskatzen duen saioa hasteko eskubidea duen.

Ordena finkoa denez, ate bakoitzak atzean daudenak ezkutatzen ditu. Tunel huts egindako batek ez du ezer esaten bideratzeaz; blokeatutako ataka batek ez du ezer esaten saioa hasteko eskubideaz; ataka-proba zuzen batek ez du ezer esaten onarpenaz. Horregatik «VPNak funtzionatzen du baina RDPk ez» ez da arazo bakarra baizik eta ate horietako bi arteko muga, eta horregatik errore-testua da azkarrena zein jo duzun jakiteko.

Saioa benetan ukatzen duen eskubidea

Urruneko mahaigainean saioa hasteko Baimendu saioa hastea Urruneko Mahaigaineko Zerbitzuen bidez erabiltzaile-eskubidea behar da, SeRemoteInteractiveLogonRight. Saioa hastean egiaztatzen da, ez tunela eraikitzean, eta horregatik kontu batek orduak igaro ditzake sarean eta hala ere mahaigaina ukatzen zaio. Hori erakusten duen elkarrizketa Tokiko politikak, Erabiltzaile-eskubideen esleipena atalean dago, eta domeinu-balioidea GPO batean.

Lehenetsitako kidetasuna makinaren rolaren araberakoa da: lan-estazioek eta kide diren zerbitzariek Administrators eta Remote Desktop Users taldeei ematen diete, eta domeinu-kontrolatzaileak Administrators-i soilik. Gertaera horrek bakarrik azaltzen du nahasmenaren zatirik handiena, kontu berak fitxategi-zerbitzari batean lortzen baitu eta DC batean huts egiten. Ukipen-eskubideak gainditzen du dagokion baimen-eskubidea talde-kidetasuna edozein dela ere, beraz baimena eta ukapena batera dituen kontua ukatua da. Ukipen-talde zabal batek mesede gisa gehitutako administratzailea har dezake.

Irakurri politika efektiboa, ez tokiko elkarrizketa

Tokiko politika eskubide bera definitzen duen edozein domeinu-GPOk gainidazten du, beraz tokiko snap-inak zuzena dirudien zerrenda erakuts dezake egoera efektiboa desberdina den bitartean. Esportatu makinak benetan aplikatzen duena, gero bilatu eskubidea eta irakurri SIDak erakusten diren izenen ordez:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Irteera horretan, *S-1-5-32-544 Administrators da eta *S-1-5-32-555 Remote Desktop Users.

Biak agertzen ez badira, politikaren titularrak ez beste inork ezin du mahaigainik ireki, tokiko Erabiltzaileak eta Taldeak elkarrizketak zer iradokitzen duen ere. Orduan gpresult irabazi zuen GPOa izendatzen du, eta hori da editatu behar duzun objektua; domeinuari atxikitako makina batean tokiko politika aldatzea proba da, ez konponbidea.

Eman egokitzen den eskubiderik estuena

Ohiko erantzuna helburuko Remote Desktop Users taldea da. Eskubidea lehenespenez darama, Administrators baino askoz txikiagoa da, eta «mahaigaina ireki dezake» eta «zerbitzaria kudea dezake» bereizten ditu. Politikoak eskubidea berariaz berresleitu duen lekuan, gehitu taldea edo kontua politika horri, inork sarbide-kontrol gisa pentsatu ez zuen talde bat gehitzen duen ordez.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Ezer gehitu aurretik, egiaztatu ukapen-zerrenda. Ukapen-eskubide batek erabiltzailea daukan talde bat izendatzen badu, aldaketa zuzena kontua talde horretatik kentzea edo ukapena estutzea da, ez beste leku batean bigarren baimen bat gehitzea. Idatzi zein eskubide eta non aldatu duzun, geroago GPO baten eguneraketak isilpean lehengo egoera berrezarriko baitu eta txartela mezu berberarekin berrirekiko da.

Eduki sare-bidea erabaki bereizi gisa

VPN taldeak ez du ataka guztietara iritsi behar. Talde batek aplikazio bat behar duenean eta ez mahaigain bat, tunel-poolera eta aplikazioaren atakara mugatutako suebaki-arau batek politika horri eragiten dio, saioa hasteko eskubidea ukitu gabe geratzen den bitartean.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPNren bezero bakoitzeko konfigurazioak eta Access Server talde-baimenek helburu-prefixuak espiritu berarekin murrizten dituzte; batek ere ez du Windows-en saioa hasteko eskubiderik ematen, eta saioa hasteko eskubideak ezin du atakarik ireki. Eduki itzazu aldaketa-leiho bereizietan, ataka-araua eta eskubidea pertsona ezberdinek onartzen dituztelako.

Egiaztatu ateak aplikatzen diren ordena berean: kontuak tunela eraiki dezake, saioak entzulearengana iristen da, bezeroak autentifikatzen du eta kontuak eskubidea du. Ataka-proba lortzen den bitartean huts egiten duen ping bat ICMPri modu ezberdinean erantzuten dion suebaki bat da, ez RDP blokeatuta dagoenaren froga. Microsoften saioa hasteko eskubidearen erreferentzia da makina-rolaren araberako lehenespenen eta ukoak baimena gainditzen duen arauaren zerrenda.