Að bæta við RDP-leiðarreglu þrengir ekki VPN-aðganginn þinn

Áætlunin hljómar skynsamlega: láttu leyfið sem fyrir er fyrir Fjartölvu óbreytt og bættu við litlu fyrir eina VPN-biðlarann sem á að hafa aðgang. Windows Firewall virkar ekki þannig. Reglur eru ekki raðaður listi þar sem nákvæmasta færslan vinnur, og þröngt leyfi við hlið breiðs breytir engu, því það breiða hleypir enn inn öllum sem það hleypir þegar inn. Að þrengja þjónustuna þýðir að breyta leyfinu sem er þegar að vinna verkið.

Reglan sem þú bætir við er ekki reglan sem skiptir máli

Windows Firewall metur allar gildar innkomandi reglur í stefnugeymslum sem gilda fyrir vélina og ákveður síðan hvort eitthvert leyfi passi og hvort einhver blokkun yfirgnæfi það. Að bæta við reglu bætir við leyfi; hún fjarlægir ekki eða skerpir leyfin sem þegar eru til.

Þannig að spurningin er aldrei hvað þú bættir við. Hún er hvað virka stefnan inniheldur eftir að staðbundin stefna, lénsstefna og sjálfgefin gildi sniðsins hafa verið sameinuð. Auðvelt er að hugsa um vinnustöð með einni staðbundinni reglu; ekki þjón sem er tengdur léni.

Þess vegna getur stjórnandi gert breytingu sem lítur rétt út, prófað hana frá rangri vél og komist að þeirri niðurstöðu að hún hafi virkað. Undanskilda uppsprettan var aldrei prófuð. Próf sem sannar aðeins árangur sannar minna en helming þess sem breytingin átti að gera.

Finndu út hvaða netfang þjónninn sér

Áður en þú afmarkar eitthvað skaltu fylgjast með einni leyfðri lotu á Windows-vélinni og skrá upprunanetfangið sem þjónninn greinir frá. Það er ekki alltaf netfangið sem biðlarinn telur sig hafa.

Ef VPN-hliðið varðveitir netföng biðlara sér þjónninn göngunetfang biðlarans og regla sem er afmörkuð með netfangi hefur merkingu. Ef hliðið þýðir koma allir biðlarar sem netfang hliðsins og afmörkun við það netfang veitir öllum biðlurum fyrir aftan aðgang. Þá er reglan nákvæm um rangt atriði.

Þessar tvær hönnun þurfa mismunandi svör. Hægt er að lýsa þeirri fyrri í eldveggjarreglu; sú seinni verður að vera framfylgt þar sem auðkenni eru enn til, það er í VPN-inu sjálfu eða í auðkenndu hliði fyrir framan þjónustuna.

Eldveggjarsía getur ekki endurheimt auðkenni sem netþýðingin henti, sama hversu vandlega netfangið er slegið inn.

Breyttu eiganda virku reglunnar

Skoðaðu virku innkomandi stefnuna og finndu hverja reglu sem leyfir nú RDP-umferð, þar á meðal reglur sem sjáanlegt heiti þeirra nefnir aldrei port 3389. Reglur sem eru afmarkaðar við þjónustu og forrit teljast líka, og sömuleiðis UDP-flutningurinn sem sumar RDP-uppsetningar virkja.

Breyttu síðan reglunum sem fyrir eru í gegnum geymsluna sem á þær. Staðbundin breyting á reglu sem lénsstefnan skilgreinir líka getur verið sameinuð, hunsuð eða skrifuð yfir, og það er þess virði að vita hvor gerist áður en þú treystir á hana.

Þessar skipanir finna virku reglurnar, sýna netfangasíuna sem fylgir einni þeirra og forskoða breytingu á umfangi:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Reglunöfnin hér eru staðgenglar fyrir það sem endurskoðunin fann, og forskoðunarflaggið er til svo innsláttarvilla í netfangi læsi þig ekki út frá þjóninum sem þú ert að breyta.

Fyrst blokka og leyfa síðan er önnur fyrirmynd

Venjan frá öðrum eldveggjum er að skrifa breiða blokk og síðan þröngt leyfi yfir hana. Í Windows vinnur skýr blokk yfirleitt gegn leyfi, svo sú röð skapar þjónustu sem enginn kemst að í stað undantekningar fyrir einn biðlara. Niðurstaðan er bilun sem lítur út eins og biluð RDP-þjónusta. Þetta er í raun forgangsavilla og leiðréttingin er að fjarlægja blokkina í stað þess að bæta við annarri leyfisreglu.

Haltu sjálfgefinni hegðun innkomandi blokkunar á virku sniðunum og þrengdu frekar tiltekin leyfi í staðinn. Það skilur vélina eftir með eina skiljanlega stöðu í stað tveggja mótsagnakenndra reglna sem víxlverkun þeirra fer eftir smáatriðum forgangs.

Sannaðu það með annarri uppsprettu

Prófaðu frá leyfðum biðlara og frá uppsprettu sem ætti nú að mistakast. Ein farsæl tenging sannar aðeins að leyfða leiðin virki; hún segir ekkert um útilokunina sem þú varst að gera.

Endurtaktu prófið yfir IPv6 ef þjónninn hefur það virkt, því áform sem aðeins miða við IPv4 geta verið til við hlið breiðs IPv6-leyfis sem enginn skoðaði.

Að lokum skaltu halda auðkenningu aðskildri frá aðgengi. Auðkenning á netstigi, reikningsréttindi og innskráningartakmarkanir ráða enn hver má nota lotuna, og eldveggurinn ræður aðeins hver má spyrja. Að fjarlægja tæki síðar ætti að fjarlægja bæði VPN-skráningu þess og þetta netleyfi, annars mun netfangið sem þú afmarkaðir einhvern tíma tilheyra einhverjum öðrum.