Akses VPN tanpa hak desktop jauh: empat gerbang terpisah

Seorang pengguna terhubung ke VPN, membuka berbagi file dan aplikasi internal, lalu upaya RDP mengembalikan «akun pengguna tidak berwenang untuk login jarak jauh». Tidak ada yang salah dengan tunnel dalam pesan itu. Empat gerbang independen berada di antara akun VPN dan desktop interaktif, dan hanya gerbang terakhir yang menghasilkannya. Orang biasanya menanggapi dengan menambahkan akun ke Administrators, yang memberikan jauh lebih banyak daripada desktop dan tidak memperbaiki gerbang jika Kebijakan Grup menolaknya. Berikut adalah apa yang sebenarnya dilakukan setiap gerbang, dan cara mengubah hanya gerbang yang menolak.

Empat gerbang berada dalam urutan tetap

Gerbang pertama-tama memutuskan apakah identitas boleh membangun tunnel: kebijakan RADIUS, kondisi grup, pemeriksaan sertifikat, izin Access Server. Lalu perutean dan firewall memutuskan apakah paket dari kumpulan tunnel mencapai pendengar TCP 3389 tujuan. Lalu jabat tangan NLA klien mengautentikasi akun terhadap tujuan. Hanya setelah ketiganya, otoritas keamanan lokal memeriksa apakah akun memiliki hak logon yang dibutuhkan sesi jarak jauh interaktif.

Karena urutannya tetap, setiap gerbang menyembunyikan gerbang di belakangnya. Tunnel yang gagal tidak menjelaskan apa pun tentang perutean; port yang diblokir tidak menjelaskan apa pun tentang hak logon; uji port yang berhasil tidak menjelaskan apa pun tentang penerimaan. Itulah sebabnya «VPN berfungsi tetapi RDP tidak» bukan satu masalah melainkan batas antara dua gerbang ini, dan itulah sebabnya teks kesalahan adalah cara tercepat untuk mengetahui gerbang mana yang Anda temui.

Hak yang sebenarnya menolak sesi

Logon ke desktop jauh memerlukan hak pengguna Izinkan logon melalui Layanan Desktop Jarak Jauh, SeRemoteInteractiveLogonRight. Hak itu diperiksa saat logon, bukan saat tunnel dibangun, sehingga akun dapat menjelajahi jaringan selama berjam-jam dan tetap ditolak desktop. Dialog yang menampilkannya berada di Kebijakan Lokal, Penetapan Hak Pengguna, dan padanan domainnya berada di GPO.

Keanggotaan default bergantung pada peran mesin: stasiun kerja dan server anggota memberikannya kepada Administrators dan Remote Desktop Users, sedangkan pengendali domain hanya memberikannya kepada Administrators. Fakta tunggal itu menjelaskan sebagian besar kebingungan, karena akun yang sama berhasil di server file dan gagal di DC. Hak tolak mengalahkan hak izin yang sesuai terlepas dari keanggotaan grup, jadi akun yang sekaligus diizinkan dan ditolak akan ditolak. Grup tolak yang luas dapat menangkap administrator yang ditambahkan sebagai bantuan.

Baca kebijakan efektif, bukan dialog lokal

Kebijakan lokal ditimpa oleh GPO domain mana pun yang mendefinisikan hak yang sama, sehingga snap-in lokal dapat menampilkan daftar yang tampak benar sementara status efektifnya berbeda. Ekspor apa yang benar-benar diterapkan mesin, lalu cari haknya dan baca SID alih-alih nama tampilan:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Dalam keluaran itu, *S-1-5-32-544 adalah Administrators dan *S-1-5-32-555 adalah Remote Desktop Users.

Jika keduanya tidak muncul, tidak seorang pun kecuali pemegang kebijakan dapat membuka desktop, apa pun yang disarankan dialog Pengguna dan Grup lokal. Lalu gpresult menyebutkan GPO yang menang, dan itulah objek yang harus Anda edit; mengubah kebijakan lokal pada mesin yang tergabung dalam domain adalah uji, bukan perbaikan.

Berikan hak tersempit yang sesuai

Jawaban biasa adalah grup Remote Desktop Users di tujuan. Grup itu membawa hak secara default, jauh lebih kecil daripada Administrators, dan memisahkan «boleh membuka desktop» dari «boleh mengelola server». Jika kebijakan telah menetapkan ulang hak secara eksplisit, tambahkan grup atau akun ke kebijakan itu alih-alih menambahkan grup yang tidak dimaksudkan siapa pun sebagai kontrol akses.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Periksa daftar tolak sebelum menambahkan apa pun. Jika hak tolak menyebut grup yang berisi pengguna, perubahan yang benar adalah menghapus akun dari grup itu atau mempersempit penolakan, bukan menambahkan izin kedua di tempat lain. Catat hak mana yang Anda ubah dan di mana, karena penyegaran GPO nanti akan memulihkan status sebelumnya secara diam-diam dan tiket akan terbuka lagi dengan pesan yang sama.

Pisahkan jalur jaringan sebagai keputusan sendiri

Grup VPN tidak harus menjangkau setiap port. Saat grup membutuhkan aplikasi dan bukan desktop, aturan firewall yang dibatasi ke kumpulan tunnel dan port aplikasi memberlakukan kebijakan itu, sementara hak logon tetap tidak tersentuh.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Konfigurasi per klien OpenVPN dan izin grup Access Server dapat membatasi prefiks tujuan dalam semangat yang sama; keduanya tidak memberikan hak logon Windows, dan hak logon tidak dapat membuka port. Pisahkan keduanya dalam jendela perubahan yang berbeda, karena aturan port dan hak disetujui oleh orang yang berbeda.

Verifikasi dalam urutan yang sama seperti gerbang berlaku: dapatkah akun membangun tunnel, dapatkah sesi mencapai pendengar, apakah klien mengautentikasi, dan apakah akun memiliki haknya. Ping yang gagal sementara uji port berhasil adalah firewall yang menjawab ICMP secara berbeda, bukan bukti bahwa RDP diblokir. Referensi Microsoft tentang hak logon mencantumkan default per peran mesin dan aturan bahwa penolakan mengalahkan izin.