Rochtain VPN gan cearta deisce chianda: ceithre gheata ar leith

Ceanglaíonn úsáideoir leis an VPN, osclaíonn sé sciar comhad agus feidhmchlár inmheánach, agus ansin filleann iarracht RDP «níl an cuntas úsáideora údaraithe le haghaidh logáil isteach cianda». Níl aon rud mícheart leis an tollán sa teachtaireacht sin. Tá ceithre gheata neamhspleácha idir cuntas VPN agus deasc idirghníomhach, agus níor chruthaigh ach an ceann deireanach é. Freagraíonn daoine de ghnáth tríd an gcuntas a chur le Administrators, a thugann i bhfad níos mó ná an deasc agus nach sásaíonn an geata má dhiúltaíonn beartas grúpa é. Seo a dhéanann gach geata i ndáiríre, agus conas gan ach an ceann atá ag diúltú a athrú.

Ceithre gheata in ord seasta

Cinneann an geata ar dtús an féidir leis an bhféiniúlacht tollán a bhunú ar chor ar bith: beartas RADIUS, coinníoll grúpa, seiceáil teastais, cead Access Server. Ansin cinneann ródú agus ballaí tine an sroicheann an paicéad ó linn an tolláin éisteoir TCP 3389 an chinn scríbe. Ansin fíoraíonn croitheadh láimhe NLA an chliaint an cuntas i gcoinne an chinn scríbe. Ní dhéanann an t-údarás slándála áitiúil seiceáil ach tar éis na dtrí sin an bhfuil an ceart logála isteach ag an gcuntas a éilíonn seisiún cianda idirghníomhach.

Toisc go bhfuil an t-ord seasta, ceilfidh gach geata na cinn atá taobh thiar de. Ní deir tollán teipthe aon rud faoi ródú; ní deir port blocáilte aon rud faoin gceart logála isteach; ní deir tástáil phoirt rathúil aon rud faoi ligean isteach. Sin é an fáth nach fadhb amháin é «oibríonn an VPN ach ní oibríonn RDP» ach teorainn idir dhá cheann de na geataí seo, agus sin é an fáth gurb é téacs na hearráide an bealach is tapúla le fáil amach cé acu a bhuail tú.

An ceart a dhiúltaíonn an seisiún i ndáiríre

Éilíonn logáil isteach ar an deasc chianda an ceart úsáideora Lig logáil isteach trí Sheirbhísí Deisce Chianda, SeRemoteInteractiveLogonRight. Seiceáiltear é ag am logála isteach, ní ag bunú an tolláin, agus mar sin féadann cuntas an líonra a bhrabhsáil ar feadh uaireanta agus deasc a dhiúltú dó fós. Tá an dialóg a thaispeánann é faoi Bheartais Áitiúla, Sannadh Ceart Úsáideora, agus tá a chomhionann fearainn i GPO.

Braitheann an ballraíocht réamhshocraithe ar ról an mheaisín: tugann stáisiúin oibre agus freastalaithe ball Administrators agus Remote Desktop Users, agus ní thugann rialtóir fearainn ach do Administrators. Míníonn an fhíric amháin sin an chuid is mó den mhearbhall, mar éiríonn leis an gcuntas céanna ar fhreastalaí comhad agus teipeann sé ar DC. Sáraíonn ceart diúltaithe an ceart ceadaithe chomhfhreagrach beag beann ar bhallraíocht ghrúpa, mar sin diúltaítear do chuntas a bhfuil cead agus diúltú araon aige. Féadann grúpa diúltaithe leathan riarthóir a gabhadh a cuireadh leis mar chomhbhá.

Léigh an beartas éifeachtach, ní an dialóg áitiúil

Scríobhann aon GPO fearainn a shainmhíníonn an ceart céanna thar bheartas áitiúil, mar sin féadann an snap-in áitiúil liosta cheart-chosúil a thaispeáint agus an staid éifeachtach difriúil. Easpórtáil a gcuireann an meaisín i bhfeidhm i ndáiríre, ansin cuardaigh an ceart agus léigh na SIDanna seachas na hainmneacha taispeána:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

San aschur sin is é *S-1-5-32-544 Administrators agus is é *S-1-5-32-555 Remote Desktop Users.

Mura bhfeictear ceachtar acu, ní féidir le duine ar bith seachas sealbhóir beartais deasc a oscailt, cibé rud a mholann an dialóg áitiúil Úsáideoirí agus Grúpaí. Ansin ainmníonn gpresult an GPO a bhuaigh, agus sin an réad a chaithfidh tú a chur in eagar; is tástáil é beartas áitiúil a athrú ar mheaisín atá ceangailte le fearann, ní ceartú.

Deonaigh an ceart is cúinge a oireann

Is é an gnáthfhreagra grúpa Remote Desktop Users ar an gceann scríbe. Iompraíonn sé an ceart de réir réamhshocraithe, tá sé i bhfad níos lú ná Administrators, agus scarann sé «féadann deasc a oscailt» ó «féadann an freastalaí a bhainistiú». San áit a bhfuil an ceart athshannta go sainráite ag beartas, cuir an grúpa nó an cuntas leis an mbeartas sin seachas grúpa a chur leis nár cheap duine ar bith mar rialú rochtana.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Seiceáil an liosta diúltaithe sula gcuireann tú aon rud leis. Má ainmníonn ceart diúltaithe grúpa ina bhfuil an t-úsáideoir, is é an t-athrú ceart an cuntas a bhaint den ghrúpa sin nó an diúltú a chúngú, ní cead eile a chur le háit eile. Taifead cé acu ceart a d'athraigh tú agus cá háit, mar déanfaidh athnuachan GPO níos déanaí an staid roimhe a athchóiriú go ciúin agus athosclófar an ticéad leis an teachtaireacht chéanna.

Coinnigh an cosán líonra mar chinneadh ar leith

Ní gá don ghrúpa VPN gach port a shroicheadh. Nuair a bhíonn feidhmchlár ag teastáil ó ghrúpa agus ní deasc, tugann riail balla tine atá teoranta do linn an tolláin agus do phort an fheidhmchláir éifeacht don bheartas sin, agus fanann an ceart logála isteach gan teagmháil.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Féadann cumraíocht OpenVPN in aghaidh an chliaint agus ceadanna grúpa Access Server na réimíreanna cinn scríbe a theorannú sa spiorad céanna; ní thugann ceachtar acu ceart logála isteach Windows, agus ní féidir le ceart logála isteach port a oscailt. Coinnigh i bhfuinneoga athraithe ar leith iad, mar ceadaíonn daoine éagsúla riail phoirt agus ceart.

Fíoraigh san ord céanna a gcuirtear na geataí i bhfeidhm: an féidir leis an gcuntas an tollán a bhunú, an sroicheann an seisiún an t-éisteoir, an bhfíoraíonn an cliant, agus an bhfuil an ceart ag an gcuntas. Is balla tine é ping a theipeann agus an tástáil phoirt ag éirí, ag freagairt go difriúil do ICMP, ní cruthúnas go bhfuil RDP blocáilte. Liostaíonn tagairt Microsoft don cheart logála isteach na réamhshocruithe de réir ról an mheaisín agus an riail go sáraíonn diúltú cead.