VPN-tagong sûnder rjochten foar fiere buroblêd: fjouwer aparte poarten

In brûker ferbynt mei de VPN, iepenet in triemdiele en in ynterne applikaasje, en dan jout in RDP-poging „it brûkersaccount is net autorisearre foar fier oanmelden“ werom. Oan dy berjocht is neat mis mei de tunnel. Fjouwer ûnôfhinklike poarten steane tusken in VPN-account en in ynteraktyf buroblêd, en allinnich de lêste hat it makke. Minsken reagearje meast troch it account oan Administrators ta te foegjen, wat folle mear as it buroblêd jout en de poarte net reparearret as Groepsbelied it wegert. Hjir is wat elke poarte eins docht, en hoe't jo allinnich dy feroarje dy't wegert.

Fjouwer poarten yn in fêste oarder

De gateway beslút earst oft de identiteit oait in tunnel meitsje mei: in RADIUS-belied, in groepsbetingst, in sertifikaatkontrôle, in Access Server-tastimming. Dan beslute routing en firewalls oft it pakket út de tunnelpool de TCP 3389-listener fan it doel berikt. Dan autentisearret de NLA-hânskears fan 'e klant it account tsjin it doel. Pas nei dy trije kontrolearret de lokale feilichheidsautoriteit oft it account it oanmeldrjocht hat dat in ynteraktive fiere sesje freget.

Om't de oarder fêst is, ferberget elke poarte dy't dêrefter sit. In mislearre tunnel seit neat oer routing; in blokkearre poarte seit neat oer it oanmeldrjocht; in slagge poarttest seit neat oer talitting. Dêrom is „de VPN wurket mar RDP net“ net ien probleem mar in grins tusken twa fan dizze poarten, en dêrom is de flatertekst de fluchste manier om te witten hokker jo rekke hawwe.

It rjocht dat de sesje eins wegert

Oanmelden by it fiere buroblêd freget it brûkersrjocht Oanmelden fia Fiere buroblêd-tsjinsten tastean, SeRemoteInteractiveLogonRight. It wurdt by oanmelden kontrolearre, net by it meitsjen fan 'e tunnel, dêrom kin in account oeren troch it netwurk blêdzje en dochs in buroblêd wegere wurde. De dialoog dy't it sjen lit, sit ûnder Lokale beliedsregels, Tawizing fan brûkersrjochten, en it domein-ekwivalint sit yn in GPO.

It standertlidmaatskip hinget ôf fan 'e rol fan 'e masine: wurkstasjons en lid-servers jouwe it oan Administrators en Remote Desktop Users, wylst in domeincontroller it allinnich oan Administrators jout. Dat iene feit ferklearret it measte fan 'e betizing, want itselde account slagget op in triemtsjinner en mislearret op in DC. In wegeringsrjocht ferslacht it oerienkommende tastimmingsrjocht likefolle groeplidmaatskip, dus in account dat sawol tastien as wegere is, wurdt wegere. In brede wegeringsgroep kin in administrator fange dy't as tsjinst tafoege is.

Lês it effektive belied, net de lokale dialoog

Lokaal belied wurdt oerskreaun troch elk domein-GPO dat itselde rjocht definiearret, dus de lokale snap-in kin in korrekt-lykjende list sjen litte wylst de effektive steat oars is. Eksportearje wat de masine eins tapast, sykje dan it rjocht en lês de SID's ynstee fan 'e werjefte-nammen:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Yn dy útfoer is *S-1-5-32-544 Administrators en *S-1-5-32-555 Remote Desktop Users.

As net ien fan beide ferskynt, kin nimmen útsein in beliedshâlder in buroblêd iepenje, wat de lokale dialoog foar brûkers en groepen ek suggerearret. Dan neamt gpresult it GPO dat wûn hat, en dat is it objekt dat jo bewurkje moatte; lokaal belied feroarje op in domein-oansletten masine is in test, net in reparaasje.

Jou it smelste rjocht dat past

It gewoane antwurd is de groep Remote Desktop Users op it doel. Dy draacht it rjocht standert, is folle lytser as Administrators, en skiedt „mei in buroblêd iepenje“ fan „mei de tsjinner beheare“. Wêr't belied it rjocht eksplisyt opnij tawiisd hat, foegje de groep of it account oan dat belied ta ynstee fan in groep ta te foegjen dy't nimmen as tagongskontrôle bedoelde.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Kontrolearje de wegeringslist foardat jo eat tafoegje. As in wegeringsrjocht in groep neamt dy't de brûker befettet, is de goede feroaring it account út dy groep helje of de wegering ferlytsje, net earne oars in twadde tastimming tafoegje. Skriuw op hokker rjocht jo feroare hawwe en wêr, want in lettere GPO-ferfarsking sil de eardere steat stil weromsette en it ticket sil mei deselde berjocht wer iepenje.

Hâld it netwurkpaad in aparte beslissing

De VPN-groep hoecht net elke poarte te berikken. As in groep in applikaasje nedich hat en gjin buroblêd, jout in firewallregel beheind ta de tunnelpool en de applikaasjepoarte effekt oan dat belied, wylst it oanmeldrjocht ûnoantaat bliuwt.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN syn eigen konfiguraasje per klant en Access Server-groepstastimmingen kinne de doelprefiksen yn deselde geast beheine; gjin fan beide jout in Windows-oanmeldrjocht, en in oanmeldrjocht kin gjin poarte iepenje. Hâld se yn aparte feroaringsfinsters, want in poarteregel en in rjocht wurde troch ferskillende minsken goedkard.

Kontrolearje yn deselde oarder as de poarten jilde: kin it account de tunnel meitsje, berikt de sesje de listener, autentisearret de klant, en hat it account it rjocht. In ping dy't mislearret wylst de poarttest slagget, is in firewall dy't oars antwurdet op ICMP, net in bewiis dat RDP blokkearre is. Microsoft syn referinsje oer it oanmeldrjocht listet de standerten per masinerol en de regel dat wegering tastimming ferslacht.