Shiga VPN ba tare da haƙƙin tebur na nesa ba: ƙofofi huɗu daban

Wani mai amfani ya haɗa da VPN, ya buɗe rabon fayil da aikace-aikacen ciki, sannan ƙoƙarin RDP ya dawo da «ba a ba da izinin asusun mai amfani don shiga nesa ba». Babu wani abu da ba daidai ba game da rami a cikin wannan saƙon. Ƙofofi huɗu masu zaman kansu suna tsakanin asusun VPN da tebur mai mu'amala, kuma na ƙarshe ne kawai ya haifar da shi. Mutane yawanci suna amsawa ta hanyar ƙara asusun cikin Administrators, wanda ke ba da fiye da tebur kuma ba ya gyara ƙofar idan manufar rukuni ta ƙi. Ga abin da kowace ƙofa take yi da gaske, da yadda za a canza wadda take ƙi kawai.

Ƙofofi huɗu a cikin tsari tabbatacce

Ƙofar farko tana yanke shawara ko asalin zai iya kafa rami kwata-kwata: manufar RADIUS, sharadi na rukuni, duba takardar shaida, izinin Access Server. Sannan turawa da katangar wuta suna yanke shawara ko fakitin daga tafkin rami ya isa mai sauraron TCP 3389 na manufa. Sannan musafaha NLA na abokin ciniki ya tabbatar da asusun a gaban manufa. Bayan waɗannan uku ne kawai hukumar tsaro ta gida ke duba ko asusun yana da haƙƙin shiga da zaman nesa mai mu'amala ke buƙata.

Domin tsarin tabbatacce ne, kowace ƙofa tana ɓoye waɗanda ke bayanta. Ramin da ya kasa ba ya faɗin komai game da turawa; tashar da aka toshe ba ta faɗin komai game da haƙƙin shiga; gwajin tashar da ya yi nasara ba ya faɗin komai game da shigar. Shi ya sa «VPN yana aiki amma RDP ba ya» ba matsala ɗaya ba ce face iyaka tsakanin biyu daga waɗannan ƙofofin, kuma shi ya sa rubutun kuskure shine hanya mafi sauri don sanin wadda ka ci karo da ita.

Haƙƙin da ke ƙin zaman da gaske

Shiga tebur na nesa yana buƙatar haƙƙin mai amfani Ba da izinin shiga ta Sabis na Tebur na Nesa, wato SeRemoteInteractiveLogonRight. Ana duba shi lokacin shiga, ba lokacin kafa rami ba, shi ya sa asusu zai iya yawo cikin cibiyar sadarwa na sa'o'i kuma har yanzu an hana shi tebur. Tattaunawar da ke nuna shi tana ƙarƙashin Manufofin Gida, Rarraba Haƙƙin Mai Amfani, kuma kwatankwacin yanki yana cikin GPO.

Kasancewar memba ta asali ya dogara da matsayin na'urar: wuraren aiki da sabar membobi suna ba da shi ga Administrators da Remote Desktop Users, yayin da mai kula da yanki ke ba da shi ga Administrators kawai. Wannan gaskiya ɗaya tana bayyana yawancin ruɗani, domin asusun ɗaya yana yin nasara a sabar fayil kuma yana kasawa a DC. Haƙƙin ƙi yana cin nasara akan haƙƙin izini daidai da shi ba tare da la'akari da kasancewar memba ba, don haka asusun da aka ba shi izini da ƙi duka an ƙi shi. Babban rukunin ƙi zai iya kama mai gudanarwa da aka ƙara a matsayin alheri.

Karanta manufar da ke aiki, ba tattaunawar gida ba

Duk wata GPO ta yanki da ta ayyana wannan haƙƙi tana sake rubuta manufar gida, don haka snap-in na gida zai iya nuna jeri mai kama da daidai yayin da ainihin yanayin ya bambanta. Fitar da abin da na'urar ke aiwatarwa da gaske, sannan nemo haƙƙin kuma karanta SID maimakon sunayen nuni:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

A cikin wannan fitarwa, *S-1-5-32-544 shine Administrators kuma *S-1-5-32-555 shine Remote Desktop Users.

Idan babu ɗaya daga cikinsu da ya bayyana, babu wanda zai iya buɗe tebur sai mai manufa, ko da menene tattaunawar gida ta Masu Amfani da Ƙungiyoyi ta ba da shawara. Sannan gpresult yana ambaton GPO da ta yi nasara, kuma ita ce abin da dole ne ka gyara; canza manufar gida a na'urar da ke da alaƙa da yanki gwaji ne, ba gyara ba.

Ba da mafi ƙarancin haƙƙin da ya dace

Amsar da aka saba ita ce ƙungiyar Remote Desktop Users a manufa. Tana ɗauke da haƙƙin ta asali, ta fi Administrators ƙanƙanta sosai, kuma tana raba «na iya buɗe tebur» da «na iya sarrafa sabar». Inda manufa ta sake ba da haƙƙin a fili, ƙara ƙungiyar ko asusun cikin wannan manufar maimakon ƙara ƙungiyar da babu wanda ya yi niyyar zama sarrafa shiga.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Duba jerin ƙi kafin ka ƙara wani abu. Idan haƙƙin ƙi ya ambaci ƙungiyar da ta ƙunshi mai amfani, canjin da ya dace shine cire asusun daga wannan ƙungiyar ko rage ƙin, ba ƙara wani izini a wani wuri ba. Rubuta wane haƙƙi ka canza da kuma inda, domin sabuntawar GPO daga baya zai mayar da yanayin baya a hankali kuma tikitin zai sake buɗewa da wannan saƙon.

Ka raba hanyar cibiyar sadarwa a matsayin shawara daban

Ƙungiyar VPN ba dole ba ta isa kowace tasha. Lokacin da ƙungiya ke buƙatar aikace-aikace ba tebur ba, dokar katangar wuta da aka iyakance ga tafkin rami da tashar aikace-aikacen tana aiwatar da wannan manufar, yayin da haƙƙin shiga ya kasance ba a taɓa shi ba.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Tsarin OpenVPN na kowane abokin ciniki da izinin ƙungiyar Access Server na iya iyakance prefixes na manufa a cikin wannan ruhi; babu ɗayansu da ke ba da haƙƙin shiga Windows, kuma haƙƙin shiga ba zai iya buɗe tasha ba. Ka riƙe su cikin tagogin canji daban, domin mutane daban-daban ne ke amincewa da dokar tasha da haƙƙi.

Tabbatar a cikin tsarin da ƙofofin ke aiki: ko asusun zai iya kafa ramin, ko zaman zai isa mai sauraro, ko abokin ciniki zai tabbatar, kuma ko asusun yana da haƙƙin. Ping da ya kasa yayin da gwajin tasha ya yi nasara katangar wuta ce da ke amsa ICMP daban, ba hujjar cewa an toshe RDP ba. Bayanin Microsoft game da haƙƙin shiga yana lissafin tsoffin ƙima bisa matsayin na'urar da dokar cewa ƙi yana cin nasara akan izini.