In RDP-tastieningsregel tafoegje fersmalt jo VPN-tagong net

It plan klinkt ridlik: lit de besteande tastiening foar Remote Desktop stean en foegje in lytsen ta foar de iene VPN-klant dy't tagong hearre te hawwen. Windows Firewall wurket net sa. Regels binne gjin oardere list wêryn't de meast spesifike ynfier wint, en in smelle tastiening njonken in brede feroaret neat, want de brede lit noch altyd elkenien troch dy't er al trochlitten hie. De tsjinst fersmaltje betsjut de tastiening bewurkje dy't it wurk al docht.

De regel dy't jo tafoegje is net de regel dy't der ta docht

Windows Firewall beoardielet alle tapaslike yngeande regels oer de beliedsopslachplakken dy't op 'e masine fan tapassing binne, en beslút dan oft in tastiening oerienkomt en oft in blokkade dy oerwint. In regel tafoegje foeget in tastiening ta; it ferwideret of kwalifisearret de tastieningen dy't der al binne net.

Dat de fraach is nea wat jo tafoege hawwe. It is wat it effektive belied befettet neidat lokaal belied, domeinbelied en de profylstanderts gearfoege binne. In wurkstasjon mei ien lokale regel is maklik te berêden; in tsjinner dy't oan in domein keppele is net.

Dat is ek wêrom't in behearder in feroaring meitsje kin dy't der goed útsjocht, dy fan 'e ferkearde masine test en konkludearret dat it wurke. De útsletten boarne waard nea test. In test dy't allinnich súkses bewist, bewist minder as de helte fan dat dêr't de feroaring foar wie.

Sjoch út hokker adres de tsjinner sjocht

Foardat jo wat beheine, observearje ien tastiene sesje op 'e Windows-host en skriuw it boarneadres op dat de tsjinner rapportearret. Dat is net altyd it adres dat de klant tinkt dat er hat.

As de VPN-gateway klantadressen bewarret, sjocht de tsjinner it tunneladres fan 'e klant, en in adresbeheinde regel is sinfol. As de gateway oerset, komt elke klant as it adres fan 'e gateway, en beheining ta dat adres jout tagong oan elke klant dêrefter. Dan is de regel krekt oer it ferkearde ding.

Dy twa ûntwerpen hawwe ferskate antwurden nedich. It earste kin yn in firewallregel útdrukt wurde; it twadde moat hanthavene wurde dêr't identiteit noch bestiet, dat is de VPN sels of in autentisearre gateway foar de tsjinst.

In firewallfilter kin in identiteit dy't netwurkfertaalling fuortsmiet net weromkrije, hoe soarchfâldich oft it adres ek yntype is.

Feroarje de eigner fan 'e effektive regel

Undersykje it effektive yngeande belied en fyn elke regel dy't op it stuit RDP-ferkear tastiet, ynklusyf regels waans werjefte namme nea poarte 3389 neamt. Tsjinstbeheinde en applikaasjebeheinde regels telle ek, en likegoed it UDP-ferfier dat guon RDP-ynsetten ynskeakelje.

Bewurkje dan de besteande regels fia it opslachplak dat se besit. In lokale bewurking fan in regel dy't it domeinbelied ek definiearret kin gearfoege, negearre of oerskreaun wurde, en it is de muoite wurdich te witten hokker fan dy foarkomt foardat jo dêrop fertrouwe.

Dizze opdrachten fine de aktive regels, litte it adresfilter sjen dat oan ien fan har keppele is, en besjen in omfangsferoaring foar:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

De regelnammen hjir binne plakhâlders foar wat de resinsje fûn, en de foarbyldflagge bestiet sadat in typeflater yn in adres jo net bûtendoar slút fan 'e tsjinner dy't jo bewurkje.

Earst blokkearje, dan tastean is in oar model

De gewoante fan oare firewalls is in brede blokkade skriuwe en dan in smelle tastiening dêroerhinne. Op Windows wint in eksplisite blokkade oer it generaal boppe in tastiening, dus dy oardering makket in tsjinst dy't nimmen berikke kin ynstee fan in útsûndering foar ien klant. It resultaat is in ûnderbrekking dy't op in stikken RDP-tsjinst liket. It is eins in foarrangsflater, en de oplossing is de blokkade fuorthelje ynstee fan noch in tastiening ta te foegjen.

Hâld it standert yngeande blokkadegedrach op 'e aktive profilen en behein ynstee de spesifike tastieningen. Dat lit de masine mei ien begryplike hâlding efter ynstee fan twa tsjinstridige regels waans ynteraksje fan foarrangsdetails ôfhinget.

Bewis it mei in twadde boarne

Test fan 'e tastiene klant en fan in boarne dy't no misse moatte soe. Ien suksesfolle ferbining bewist allinnich dat it tastiene paad wurket; it seit neat oer de útsluting dy't jo krekt makke hawwe.

Werhelje de test oer IPv6 as de tsjinner it ynskeakele hat, want in bedoeling allinnich foar IPv4 kin bestean njonken in brede IPv6-tastiening dêr't nimmen nei sjoen hat.

Ta beslút, hâld autentikaasje los fan berikberens. Autentikaasje op netwurknivo, akkountrjochten en oanmeldbeheiningen beslisse noch altyd wa't de sesje brûke mei, en de firewall beslút allinnich wa't freegje mei. It letter fuortheljen fan in apparaat heart sawol syn VPN-ynskriuwing as dizze netwurkstastiening fuort te heljen, oars sil it adres dat jo beheind hawwe úteinlik fan immen oars wêze.