RDP feroaret de klient: wêrom’t de databank in oare host sjocht

Jo VPN-regel wegeret de databank en it ticket wurdt sletten as in firewallflater, wylst deselde brûker in publisearre buro iepenet en dy databank sûnder swierrichheden befreget. Beide bewearings binne wier. It buro is in oare klient, mei syn eigen adres op in segmint dat de regels al fertrouwe, en syn eigen identiteit as it fierder ferbynt. Wat as in tsjinstridige regel liket, is meastentiids in twadde fersyk dat nimmen yn de resinsje set hat.

It twadde fersyk hat syn eigen kliïntadres

As in applikaasje yn de sesje in ferbining mei de databank iepenet, begjint de TCP-hânskinst op de sesjehost. Syn boarneadres heart by it netwurk fan dy host, dus elk router en databankfirewall op de wei wurdearret it segmint fan it buro yn stee fan de tunnelpool dêr’t jo laptop wei kaam. It VPN-adres ferskynt nea yn dy stream. Dêrom kin in blokkearregel op basis fan boarne tagelyk korrekt en net relevant wêze.

Lês de oarsprong fan binnen de sesje yn stee fan fan de laptop, en test dan it fierdere paad fan itselde plak. De twa antwurden moatte it iens wêze oer hokker host it fersyk docht.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Fergelykje wat de sesje rapportearret mei it adres dat de databank foar itselde stuit registrearre hat. As it serverlog it subnet fan it buro sjen lit yn stee fan de tunnelpool, hâldt de fraach op om te wêzen oft de regel rekke en wurdt it hokker host it fersyk dien hat. Dat is in oar ûndersyk mei in oare eigner.

De identiteit feroaret likegoed as de adressearring

De fierdere ferbining autentisearret him meastentiids as it token fan de sesje, in bewarre legitimatie of in tsjinstaccount fan de applikaasje, en de boarne registrearret wat him jûn is. In auditspoar dat in tsjinstaccount op de databank sjen lit, bewissiget dus net dat in minske de befreging útfierd hat. It identifisearret dy minske ek net. Allinnich it eigen sesjelog fan it buro ferbynt dy twa records.

Autorisaasje bart twa kear, en de twadde beslissing wurdt nommen mei oare yngongen. De earste jout in buro-oanmelding foar in neamde brûker, wylst de twadde jout wat it token fan dy brûker of it account fan de applikaasje mei de boarne dwaan kin. In helpdeskgroep dy’t in buro iepenje mei, is net automatysk in groep dy’t in klanttabel lêze mei.

Sjoch nei it token en it delegaasjepaad foardat jo de tagongsnotysje skriuwe. Beide binne sichtber fan binnen de sesje, en dat is it iennichste plak dêr’t it antwurd gjin gissing is.

whoami /groups
klist
query session

As de applikaasje in tsjinstaccount brûkt, binne syn rjochten dy’t fierder fan belang binne. It fernijen fan dy legitimatie heart by de tagongsresinsje, net by in operasjonele neitocht.

Wêrom’t it direkte paad noch altyd blokkearre is, en terjochte

De blokkearregel is net ferkeard allinnich om’t it doel oer in oare wei berikber is. Segmintaasje wurdt per boarne beoardiele, en it buro stiet op in segmint dat tastien waard lang foardat immen it as in rûte nei de databank seach. Neat hat it belied omgien. It belied beskriuwt gewoan twa ferskillende boarnen mei twa ferskillende útkomsten.

Wat de resinsje beantwurdzje moat, is wat elke autorisearre sesje op dy host starte kin. Browsers mei bewarre sesjes, keppele skiven, aginten mei legitimaties en lokaal lústerjende tsjinsten wreidzje allegear it berik fan it buro út, en gjinien fan harren ferskynt yn it ticket dat de oanmelding joech. Dy ynventaris is it echte tagongsoerflak.

Neech it fan binnen in testsesje, net fan in rekkenblêd. In hantsjefol opdrachten dekt it grutste part fan it oerflak.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Kies de grins mei opsetsin

Trije foarmen passe by ferskillende taken, en de kar moat de taak folgje yn stee fan it ark dat tafallich bestiet. In publisearre applikaasje eksposearret ien programma mei syn eigen tastimmingen, in folslein buro eksposearret alles wat it profyl fan de brûker dwaan kin, en in beheind databankaccount mei in boarnebeheining eksposearret ien boarne hielendal sûnder buro. De smelste foarm dy’t it wurk noch foltôget, is dejinge om te dokumintearjen. Alles breder hat in reden nedich dy’t derneist skreaun wurdt.

Foar ien rapport is in publisearre applikaasje of in beheind account in lytsere jefte as in algemien buro. Foar ûnderhâld dat wirklik ferskate ark nedich hat, kin it buro goed wêze, mar dan beskriuwt de goedkarring de hiele host yn stee fan ien applikaasje. Freegje de eigner fan de boarne hokker fan dy’t se dermei iens binne.

Dataferpleatsing is in aparte skeakel. Klaaiblêd, skiifomlieding en downloads kinne bedriuwsdata nei de klient bringe, en in applikaasje op ôfstân draaie hâldt de data net op himsels op ôfstân.

Kontrolearje beide goedkarringen en it paad foar it fuortheljen

Twa goedkarringen hearre yn it record: it rjocht om it buro te berikken en te iepenjen, en it rjocht om boarnen fan binnenút te brûken. Namm in eigner foar elk en hâld de twadde sichtber foar wa’t de boarne besjocht. It is dy twadde ynskriuwing dêr’t in auditor nei freegje sil, om’t dy it berik beskriuwt en net de tagong. Skriuw beide foardat de wiziging goedkard wurdt, net nei it earste ynsidint.

Test dan it fuortheljen, om’t in ôfsletten sesje de reden derfoar oerlibje kin. De sesjetabel is it fluchste plak om te sjen wat noch rint.

query session
query user
qwinsta /server:rdsh01.corp.internal

It ôfbrekken fan de klient lit de fiere sesje draaie, en syn netwurkferbiningen en bewarre legitimaties kinne brûkber bliuwe oant dy sesje einiget. Meld ôf, of beëinigje de sesje eksplisyt, en befêstigje dat de teller fierderop dêrnei ophâldt mei foarútgean. In test foar fuortheljen dy’t allinnich it deksel fan de laptop slút, bewissiget neat. Doch deselde test ien kear mei it account útskeakele en ien kear mei de buro-tastimming fuorthelle, en skriuw dan op wat de boarne yn elk gefal logde.