રિમોટ ડેસ્કટોપ અધિકારો વગર VPN ઍક્સેસ: ચાર અલગ દરવાજા

એક વપરાશકર્તા VPN સાથે જોડાય છે, ફાઇલ શેર અને આંતરિક ઍપ્લિકેશન ખોલે છે, અને પછી RDP પ્રયાસ «વપરાશકર્તા ખાતું દૂરસ્થ લૉગઇન માટે અધિકૃત નથી» પરત કરે છે. તે સંદેશમાં ટનલ વિશે કંઈ ખોટું નથી. VPN ખાતા અને ઇન્ટરેક્ટિવ ડેસ્કટોપ વચ્ચે ચાર સ્વતંત્ર દરવાજા છે, અને ફક્ત છેલ્લાએ તેને ઉત્પન્ન કર્યું. લોકો સામાન્ય રીતે ખાતું Administrators માં ઉમેરે છે, જે ડેસ્કટોપ કરતાં ઘણું વધારે આપે છે અને જો જૂથ નીતિ નકારે તો દરવાજો સુધારતું નથી. અહીં દરેક દરવાજો ખરેખર શું કરે છે અને ફક્ત નકારતા દરવાજાને કેવી રીતે બદલવો તે છે.

ચાર દરવાજા નિશ્ચિત ક્રમમાં

ગેટવે પહેલા નક્કી કરે છે કે ઓળખ ટનલ બનાવી શકે છે કે નહીં: RADIUS નીતિ, જૂથ શરત, પ્રમાણપત્ર તપાસ, Access Server પરવાનગી. પછી રૂટિંગ અને ફાયરવૉલ નક્કી કરે છે કે ટનલ પૂલમાંથી પેકેટ લક્ષ્યના TCP 3389 શ્રોતા સુધી પહોંચે છે કે નહીં. પછી ક્લાયંટનું NLA હેન્ડશેક લક્ષ્ય સામે ખાતાને પ્રમાણિત કરે છે. તે ત્રણ પછી જ સ્થાનિક સુરક્ષા સત્તા તપાસે છે કે ખાતા પાસે ઇન્ટરેક્ટિવ દૂરસ્થ સત્રને જરૂરી લૉગઑન અધિકાર છે કે નહીં.

ક્રમ નિશ્ચિત હોવાથી, દરેક દરવાજો પાછળના દરવાજા છુપાવે છે. નિષ્ફળ ટનલ રૂટિંગ વિશે કંઈ કહેતું નથી; અવરોધિત પોર્ટ લૉગઑન અધિકાર વિશે કંઈ કહેતું નથી; સફળ પોર્ટ પરીક્ષણ પ્રવેશ વિશે કંઈ કહેતું નથી. તેથી «VPN કામ કરે છે પણ RDP નહીં» એ એક સમસ્યા નથી પણ આ દરવાજાઓમાંથી બે વચ્ચેની સીમા છે, અને તેથી ભૂલનું લખાણ તમે કયા દરવાજે અથડાયા તે જાણવાનો સૌથી ઝડપી રસ્તો છે.

જે અધિકાર ખરેખર સત્ર નકારે છે

રિમોટ ડેસ્કટોપમાં સાઇન-ઇન કરવા માટે વપરાશકર્તા અધિકાર રિમોટ ડેસ્કટોપ સેવાઓ દ્વારા લૉગઑનની પરવાનગી આપો, એટલે કે SeRemoteInteractiveLogonRight જરૂરી છે. તે લૉગઑન સમયે તપાસાય છે, ટનલ સ્થાપિત કરતી વખતે નહીં, તેથી ખાતું કલાકો સુધી નેટવર્કમાં ફરી શકે અને છતાં ડેસ્કટોપ નકારાય. તેને દર્શાવતો સંવાદ સ્થાનિક નીતિઓ, વપરાશકર્તા અધિકાર સોંપણી હેઠળ છે, અને ડોમેન સમકક્ષ GPO માં છે.

મૂળભૂત સભ્યપદ મશીનની ભૂમિકા પર આધાર રાખે છે: વર્કસ્ટેશન અને સભ્ય સર્વર તેને Administrators અને Remote Desktop Users ને આપે છે, જ્યારે ડોમેન નિયંત્રક ફક્ત Administrators ને. તે એક હકીકત મોટાભાગની ગૂંચવણ સમજાવે છે, કારણ કે એ જ ખાતું ફાઇલ સર્વર પર સફળ થાય છે અને DC પર નિષ્ફળ. નકાર અધિકાર જૂથ સભ્યપદ નિરપેક્ષ રીતે સંબંધિત પરવાનગી અધિકારને હરાવે છે, તેથી જે ખાતાને પરવાનગી અને નકાર બંને હોય તે નકારાય છે. વિશાળ નકાર જૂથ ઉપકાર તરીકે ઉમેરાયેલા સંચાલકને પણ પકડી શકે છે.

અસરકારક નીતિ વાંચો, સ્થાનિક સંવાદ નહીં

સ્થાનિક નીતિને સમાન અધિકાર વ્યાખ્યાયિત કરતી કોઈપણ ડોમેન GPO દ્વારા ફરીથી લખવામાં આવે છે, તેથી સ્થાનિક સ્નેપ-ઇન યોગ્ય દેખાતી યાદી બતાવી શકે છે જ્યારે અસરકારક સ્થિતિ અલગ હોય. મશીન ખરેખર શું લાગુ કરે છે તે નિકાસ કરો, પછી અધિકાર શોધો અને દર્શાવેલા નામોને બદલે SID વાંચો:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

તે આઉટપુટમાં *S-1-5-32-544 એ Administrators છે અને *S-1-5-32-555 એ Remote Desktop Users છે.

જો બંનેમાંથી કોઈ દેખાય નહીં, તો સ્થાનિક વપરાશકર્તાઓ અને જૂથોનો સંવાદ શું સૂચવે તે ધ્યાનમાં લીધા વિના, નીતિ ધારક સિવાય કોઈ ડેસ્કટોપ ખોલી શકતું નથી. પછી gpresult જીતેલી GPO નું નામ આપે છે, અને તે જ વસ્તુ તમારે સંપાદિત કરવાની છે; ડોમેન-જોડાયેલ મશીન પર સ્થાનિક નીતિ બદલવી એ પરીક્ષણ છે, સુધારો નહીં.

જે સાંકડો અધિકાર બંધ બેસે તે આપો

સામાન્ય જવાબ લક્ષ્ય પરનું Remote Desktop Users જૂથ છે. તે મૂળભૂત રીતે અધિકાર ધરાવે છે, Administrators કરતાં ઘણું નાનું છે, અને «ડેસ્કટોપ ખોલી શકે» ને «સર્વરનું સંચાલન કરી શકે» થી અલગ કરે છે. જ્યાં નીતિએ અધિકાર સ્પષ્ટ રીતે ફરી સોંપ્યો છે, ત્યાં કોઈએ ઍક્સેસ નિયંત્રણ તરીકે ન ધારેલું જૂથ ઉમેરવાને બદલે તે જૂથ કે ખાતું તે નીતિમાં ઉમેરો.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

કંઈ ઉમેરતા પહેલા નકાર યાદી તપાસો. જો નકાર અધિકાર વપરાશકર્તાને ધરાવતા જૂથનું નામ લે, તો સાચો ફેરફાર ખાતાને તે જૂથમાંથી દૂર કરવો અથવા નકાર સાંકડો કરવો છે, બીજે બીજી પરવાનગી ઉમેરવી નહીં. તમે કયો અધિકાર અને ક્યાં બદલ્યો તે નોંધો, કારણ કે પછીનું GPO રિફ્રેશ પાછલી સ્થિતિ ચૂપચાપ પુનઃસ્થાપિત કરશે અને ટિકિટ એ જ સંદેશ સાથે ફરી ખુલશે.

નેટવર્ક માર્ગને અલગ નિર્ણય રાખો

VPN જૂથે દરેક પોર્ટ સુધી પહોંચવાની જરૂર નથી. જ્યારે જૂથને ડેસ્કટોપ નહીં પણ ઍપ્લિકેશનની જરૂર હોય, ટનલ પૂલ અને ઍપ્લિકેશન પોર્ટ સુધી મર્યાદિત ફાયરવૉલ નિયમ તે નીતિને અમલમાં મૂકે છે, જ્યારે લૉગઑન અધિકાર અસ્પૃશ્ય રહે છે.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPNનું પ્રતિ-ક્લાયંટ રૂપરેખાંકન અને Access Server જૂથ પરવાનગીઓ એ જ ભાવનામાં લક્ષ્ય પ્રીફિક્સ મર્યાદિત કરી શકે છે; તેમાંથી કોઈ Windows લૉગઑન અધિકાર આપતું નથી, અને લૉગઑન અધિકાર પોર્ટ ખોલી શકતો નથી. તેમને અલગ ફેરફાર વિન્ડોમાં રાખો, કારણ કે પોર્ટ નિયમ અને અધિકારને અલગ લોકો મંજૂર કરે છે.

દરવાજા જે ક્રમમાં લાગુ પડે તે જ ક્રમમાં ચકાસો: ખાતું ટનલ સ્થાપિત કરી શકે છે, સત્ર શ્રોતા સુધી પહોંચે છે, ક્લાયંટ પ્રમાણિત કરે છે અને ખાતા પાસે અધિકાર છે. પોર્ટ પરીક્ષણ સફળ થાય ત્યારે નિષ્ફળ જતું ping એ ICMP ને અલગ રીતે જવાબ આપતો ફાયરવૉલ છે, RDP અવરોધિત હોવાનો પુરાવો નથી. Microsoftનું લૉગઑન અધિકાર સંદર્ભ મશીન ભૂમિકા મુજબના મૂળભૂત મૂલ્યો અને નકાર પરવાનગીને હરાવે છે તે નિયમની યાદી આપે છે.