Menambahkan aturan izin RDP tidak mempersempit akses VPN Anda

Rencananya terdengar masuk akal: biarkan izin Desktop Jarak Jauh yang ada apa adanya dan tambahkan izin kecil untuk satu-satunya klien VPN yang seharusnya memiliki akses. Windows Firewall tidak bekerja seperti itu. Aturan bukanlah daftar berurutan tempat entri paling spesifik menang, dan izin sempit di samping izin luas tidak mengubah apa pun, karena yang luas tetap meloloskan semua orang yang sudah diloloskannya. Mempersempit layanan berarti menyunting izin yang sudah melakukan pekerjaannya.

Aturan yang Anda tambahkan bukan aturan yang penting

Windows Firewall mengevaluasi semua aturan masuk yang berlaku di penyimpanan kebijakan yang berlaku bagi mesin, lalu memutuskan apakah ada izin yang cocok dan apakah ada blokir yang mengalahkannya. Menambahkan aturan menambah izin; itu tidak menghapus atau membatasi izin yang sudah ada.

Jadi pertanyaannya tidak pernah apa yang Anda tambahkan. Pertanyaannya adalah apa yang dikandung kebijakan efektif setelah kebijakan lokal, kebijakan domain, dan nilai bawaan profil digabungkan. Stasiun kerja dengan satu aturan lokal mudah dipikirkan; server yang tergabung dalam domain tidak.

Itu juga sebabnya administrator dapat membuat perubahan yang tampak benar, mengujinya dari mesin yang salah, dan menyimpulkan bahwa itu berhasil. Sumber yang dikecualikan tidak pernah diuji. Uji yang hanya membuktikan keberhasilan membuktikan kurang dari separuh tujuan perubahan itu.

Cari tahu alamat mana yang dilihat server

Sebelum membatasi apa pun, amati satu sesi yang diizinkan di host Windows dan catat alamat sumber yang dilaporkan server. Itu tidak selalu alamat yang dianggap dimiliki klien.

Jika gateway VPN mempertahankan alamat klien, server melihat alamat terowongan klien, dan aturan yang dibatasi alamat menjadi bermakna. Jika gateway menerjemahkan, setiap klien tiba sebagai alamat gateway, dan pembatasan ke alamat itu memberi akses ke setiap klien di belakangnya. Maka aturannya tepat tentang hal yang salah.

Kedua desain itu membutuhkan jawaban berbeda. Yang pertama dapat dinyatakan dalam aturan firewall; yang kedua harus ditegakkan di tempat identitas masih ada, yaitu di VPN itu sendiri atau di gateway terautentikasi di depan layanan.

Filter firewall tidak dapat memulihkan identitas yang dibuang oleh penerjemahan jaringan, seberapa pun cermat alamatnya diketik.

Ubah pemilik aturan efektif

Periksa kebijakan masuk yang efektif dan temukan setiap aturan yang saat ini mengizinkan lalu lintas RDP, termasuk aturan yang nama tampilannya tidak pernah menyebut port 3389. Aturan yang dibatasi layanan dan aplikasi juga dihitung, begitu pula transport UDP yang diaktifkan beberapa penerapan RDP.

Lalu sunting aturan yang ada melalui penyimpanan yang memilikinya. Suntingan lokal pada aturan yang juga ditetapkan kebijakan domain dapat digabungkan, diabaikan, atau ditimpa, dan ada baiknya mengetahui mana yang terjadi sebelum Anda mengandalkannya.

Perintah ini menemukan aturan aktif, menampilkan filter alamat yang terlampir pada salah satunya, dan mempratinjau perubahan cakupan:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Nama aturan di sini adalah pengganti untuk apa yang ditemukan tinjauan, dan tanda pratinjau ada agar salah ketik pada alamat tidak mengunci Anda dari server yang sedang Anda sunting.

Blokir-dulu-izinkan adalah model yang berbeda

Kebiasaan dari firewall lain adalah menulis blokir luas lalu izin sempit di atasnya. Di Windows blokir eksplisit umumnya menang atas izin, sehingga urutan itu menghasilkan layanan yang tidak dapat dijangkau siapa pun alih-alih pengecualian bagi satu klien. Hasilnya adalah pemadaman yang tampak seperti layanan RDP rusak. Itu sebenarnya kesalahan prioritas, dan perbaikannya adalah menghapus blokir alih-alih menambahkan izin lain.

Pertahankan perilaku blokir masuk bawaan pada profil aktif dan persempit izin spesifik sebagai gantinya. Itu meninggalkan mesin dengan satu sikap yang dapat dipahami alih-alih dua aturan yang saling bertentangan yang interaksinya bergantung pada detail prioritas.

Buktikan dengan sumber kedua

Uji dari klien yang diizinkan dan dari sumber yang sekarang seharusnya gagal. Satu koneksi yang berhasil hanya membuktikan jalur yang diizinkan berfungsi; itu tidak mengatakan apa pun tentang pengecualian yang baru saja Anda buat.

Ulangi uji melalui IPv6 jika server mengaktifkannya, karena niat khusus IPv4 dapat hidup berdampingan dengan izin IPv6 luas yang tidak dilihat siapa pun.

Terakhir, jaga autentikasi tetap terpisah dari keterjangkauan. Autentikasi Tingkat Jaringan, hak akun, dan pembatasan masuk tetap menentukan siapa yang boleh menggunakan sesi, dan firewall hanya menentukan siapa yang boleh bertanya. Menghapus perangkat nanti harus menghapus pendaftaran VPN-nya dan izin jaringan ini, atau alamat yang Anda batasi suatu saat akan menjadi milik orang lain.