VPN-yhteys ilman etätyöpöydän oikeuksia: neljä erillistä porttia

Käyttäjä muodostaa yhteyden VPN:ään, avaa tiedostojakoon ja sisäisen sovelluksen, ja sitten RDP-yritys palauttaa „käyttäjätilillä ei ole oikeutta etäkirjautumiseen“. Siinä viestissä tunnelissa ei ole mitään väärää. VPN-tilin ja vuorovaikutteisen työpöydän välissä on neljä riippumatonta porttia, ja vain viimeinen tuotti sen. Yleensä ihmiset lisäävät tilin Administrators-ryhmään, mikä myöntää paljon enemmän kuin työpöydän eikä korjaa porttia, jos ryhmäkäytäntö kieltää sen. Tässä kerrotaan, mitä kukin portti todella tekee ja miten muutetaan vain sitä, joka kieltäytyy.

Neljä porttia kiinteässä järjestyksessä

Yhdyskäytävä päättää ensin, saako identiteetti ylipäätään muodostaa tunnelin: RADIUS-käytäntö, ryhmäehto, varmenteen tarkistus, Access Server -lupa. Sitten reititys ja palomuurit päättävät, saavuttaako tunnelipoolista tuleva paketti kohteen TCP 3389 -kuuntelijan. Sitten asiakkaan NLA-kättely todentaa tilin kohdetta vastaan. Vasta näiden kolmen jälkeen paikallinen turvallisuusviranomainen tarkistaa, onko tilillä kirjautumisoikeus, jota vuorovaikutteinen etäistunto vaatii.

Koska järjestys on kiinteä, jokainen portti kätkee takanaan olevat. Epäonnistunut tunneli ei kerro mitään reitityksestä; estetty portti ei kerro mitään kirjautumisoikeudesta; onnistunut porttitesti ei kerro mitään hyväksymisestä. Siksi „VPN toimii mutta RDP ei“ ei ole yksi ongelma vaan raja kahden tällaisen portin välillä, ja siksi virheteksti on nopein tapa tietää, mihin törmäsit.

Oikeus, joka todella hylkää istunnon

Etätyöpöydälle kirjautuminen vaatii käyttöoikeuden Salli kirjautuminen Etätyöpöytäpalveluiden kautta, SeRemoteInteractiveLogonRight. Se tarkistetaan kirjautumisen yhteydessä, ei tunnelia muodostettaessa, minkä vuoksi tili voi selata verkkoa tunteja ja silti työpöytä evätään. Valintaikkuna, joka sen näyttää, on kohdassa Paikalliset käytännöt, Käyttöoikeuksien määrittäminen, ja toimialueen vastine on GPO:ssa.

Oletusjäsenyys riippuu koneen roolista: työasemat ja jäsempalvelimet myöntävät sen ryhmille Administrators ja Remote Desktop Users, kun taas toimialueen ohjauskone vain ryhmälle Administrators. Tämä yksi seikka selittää suurimman osan sekaannuksesta, koska sama tili onnistuu tiedostopalvelimella ja epäonnistuu DC:llä. Kieltämisoikeus voittaa vastaavan sallimisoikeuden ryhmäjäsenyydestä riippumatta, joten tili, jolle sekä sallitaan että kielletään, kielletään. Laaja kieltämisryhmä voi napata hyvänä tekona lisätyn ylläpitäjän.

Lue voimassa oleva käytäntö, ei paikallista valintaikkunaa

Paikallisen käytännön korvaa mikä tahansa toimialueen GPO, joka määrittää saman oikeuden, joten paikallinen snap-in voi näyttää oikealta näyttävän luettelon, vaikka voimassa oleva tila on erilainen. Vie se, mitä kone todella soveltaa, etsi sitten oikeus ja lue SID:t näyttönimien sijaan:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Tässä tulosteessa *S-1-5-32-544 on Administrators ja *S-1-5-32-555 on Remote Desktop Users.

Jos kumpaakaan ei näy, kukaan muu kuin käytännön haltija ei voi avata työpöytää, mitä paikallinen Käyttäjät ja ryhmät -valintaikkuna ehdottaneekin. Silloin gpresult nimeää voittaneen GPO:n, ja se on objekti, jota sinun on muokattava; paikallisen käytännön muuttaminen toimialueeseen liitetyssä koneessa on testi, ei korjaus.

Myönnä kapein sopiva oikeus

Tavallinen vastaus on kohteen Remote Desktop Users -ryhmä. Se kantaa oikeuden oletuksena, on paljon pienempi kuin Administrators ja erottaa „saa avata työpöydän“ ja „saa hallita palvelinta“. Jos käytäntö on määrittänyt oikeuden nimenomaisesti uudelleen, lisää ryhmä tai tili siihen käytäntöön sen sijaan, että lisäisit ryhmän, jota kukaan ei tarkoittanut käyttöoikeuden valvonnaksi.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Tarkista kieltoluettelo ennen kuin lisäät mitään. Jos kieltämisoikeus nimeää ryhmän, johon käyttäjä kuuluu, oikea muutos on poistaa tili siitä ryhmästä tai kaventaa kieltämistä, ei lisätä toista sallimista muualle. Kirjaa, mitä oikeutta ja missä muutit, koska myöhempi GPO-päivitys palauttaa edellisen tilan hiljaa ja tiketti avautuu uudelleen samalla viestillä.

Pidä verkkopolku erillisenä päätöksenä

VPN-ryhmän ei tarvitse päästä joka porttiin. Kun ryhmä tarvitsee sovelluksen eikä työpöytää, tunnelipooliin ja sovelluksen porttiin rajattu palomuurisääntö panee käytännön täytäntöön, kun taas kirjautumisoikeus pysyy koskemattomana.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN:n oma asiakaskohtainen kokoonpano ja Access Serverin ryhmäoikeudet voivat rajoittaa kohdeprefiksejä samassa hengessä; kumpikaan ei myönnä Windowsin kirjautumisoikeutta, eikä kirjautumisoikeus voi avata porttia. Pidä ne erillisissä muutosikkunoissa, koska porttisäännön ja oikeuden hyväksyvät eri ihmiset.

Vahvista samassa järjestyksessä kuin portit soveltuvat: voiko tili muodostaa tunnelin, saavuttaako istunto kuuntelijan, todentaako asiakas ja onko tilillä oikeus. Ping, joka epäonnistuu porttitestin onnistuessa, on palomuuri, joka vastaa ICMP:hen eri tavalla, ei todiste siitä, että RDP on estetty. Microsoftin kirjautumisoikeuden viite luettelee oletukset konerooleittain ja säännön, että kieltäminen voittaa sallimisen.