RDP skiptir um biðlara: hvers vegna gagnagrunnurinn sér annan hýsil

VPN-regla þín neitar gagnagrunninum og miðinn er lokaður sem eldveggsgalli, á meðan sami notandi opnar birt skjáborð og fyrirspyr gagnagrunninn án vandræða. Báðar fullyrðingarnar eru sannar. Skjáborðið er annar biðlari, með eigið vistfang á hluta sem reglurnar treysta þegar, og eigin auðkenni þegar það tengist áfram. Það sem lítur út eins og mótsöguleg regla er venjulega önnur beiðni sem enginn setti í yfirferðina.

Önnur beiðnin hefur eigið biðlaravistfang

Þegar forrit inni í setunni opnar tengingu við gagnagrunninn byrjar TCP-handtakið á hýsli setunnar. Heimildarvistfang þess tilheyrir neti þess hýsis, þannig að hver leið, gagnagrunnseldveggur á leiðinni metur hlut skjáborðsins frekar en göngusafnið sem fartölvan þín kom úr. VPN-vistfangið birtist aldrei í því flæði. Þess vegna getur höfnunarregla byggð á heimild verið bæði rétt og óviðkomandi.

Lestu upprunann innan úr setunni frekar en úr fartölvunni, prófaðu síðan áframleiðina frá sama stað. Svörin tvö ættu að vera sammála um hvaða hýsil sendir beiðnina.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Berðu saman það sem setan greinir frá við vistfangið sem gagnagrunnurinn skráði fyrir sama tíma. Þegar þjónnarlogið sýnir undirnet skjáborðsins í stað göngusafnsins hættir spurningin að vera hvort reglan hafi virkjast og verður hvaða hýsil sendi beiðnina. Það er önnur rannsókn með öðrum eiganda.

Auðkennið breytist líka, ekki bara vistföngin

Áframtengingin auðkennir sig venjulega sem tákn setunnar, geymt skírteini eða þjónustureikning forritsins, og tilfangið skráir það sem því var gefið. Þess vegna sannar endurskoðunarslóð sem sýnir þjónustureikning á gagnagrunninum ekki að maður hafi keyrt fyrirspurnina. Hún auðkennir manninn ekki heldur. Aðeins eigin setulogi skjáborðsins tengir þessar tvær færslur.

Heimildin á sér stað tvisvar og seinni ákvörðunin er tekin með öðrum inntaki. Sú fyrri veitir nefndum notanda innskráningu á skjáborð, en sú seinni veitir það sem tákn þess notanda eða reikningur forritsins getur gert við tilfangið. Hjálparborðshópur sem má opna skjáborð er ekki sjálfkrafa hópur sem má lesa viðskiptavinatöflu.

Skoðaðu táknið og framsalsleiðina áður en þú skrifar aðgangsathugasemdina. Bæði sjást innan úr setunni, og það er eini staðurinn þar sem svarið er ekki ágiskun.

whoami /groups
klist
query session

Ef forritið notar þjónustureikning gilda réttindi hans áfram. Skipti á því skírteini tilheyrir aðgangsyfirferðinni, ekki rekstrarhugsun á eftir.

Hvers vegna bein leiðin er enn lokuð, og réttilega

Höfnunarreglan er ekki röng bara af því að hægt er að ná áfangastaðnum á annan hátt. Skipting er metin fyrir hverja heimild, og skjáborðið situr á hluta sem var heimilaður löngu áður en nokkur hugsaði um hann sem leið að gagnagrunninum. Ekkert fór framhjá stefnunni. Stefnan lýsir einfaldlega tveimur mismunandi heimildum með tveimur mismunandi niðurstöðum.

Það sem yfirferðin verður að svara er hvað hver heimiluð seta á þeim hýsli getur ræst. Vafrar með geymdar setur, tengdir drifar, umboðsmenn með skírteini og þjónustur sem hlusta staðbundið auka allt drægi skjáborðsins, og ekkert þeirra birtist á miðanum sem veitti innskráninguna. Sá listi er raunverulegt heimildaryfirborð.

Teldu hann upp innan úr prófunarsetu, ekki úr töflureikni. Nokkrar skipanir ná yfir mestan hluta yfirborðsins.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Veldu mörkin af ásettu ráði

Þrjú form henta mismunandi verkum og valið ætti að fylgja verkinu frekar en verkfærinu sem verður fyrir hendi. Birt forrit sýnir eitt kerfi með eigin heimildum, fullt skjáborð sýnir allt sem notandasniðið getur gert, og þröngur gagnagrunnsreikningur með heimildartakmörkun sýnir eitt tilfang alveg án skjáborðs. Þrengsta formið sem lýkur enn verkinu er það sem á að skjalfesta. Allt víðara þarf rök skrifuð við hliðina.

Fyrir eina skýrslu er birt forrit eða takmarkaður reikningur minni veiting en almenn skjáborð. Fyrir viðhald sem þarf raunverulega nokkur verkfæri kann skjáborðið að vera rétt, en þá lýsir samþykkið öllum hýslinum frekar en einu forriti. Spurðu eiganda tilfangsins hvoru þau séu samþykk.

Gagnaflutningur er sérstakur rofi. Klippiborð, drifstýring og niðurhal geta borið gögn fyrirtækisins til biðlarans, og að keyra forrit fjarlægt heldur gögnunum ekki fjarlægum af sjálfu sér.

Athugaðu bæði samþykkin og brotttökuleiðina

Tvö samþykki eiga heima í færslunni: rétturinn til að ná skjáborðinu og opna það, og rétturinn til að nota tilföng innan úr því. Nefndu eiganda fyrir hvort og hafðu það seinna sýnilegt fyrir þann sem fer yfir tilfangið. Það er seinni færslan sem endurskoðandi spyr um, því hún lýsir drægi en ekki inngöngu. Skrifaðu bæði áður en breytingin er samþykkt, ekki eftir fyrsta atvikið.

Prófaðu síðan brotttökuna, því aftengd seta getur lifað lengur en ástæða hennar. Setutaflan er fljótlegasti staðurinn til að sjá hvað er enn í gangi.

query session
query user
qwinsta /server:rdsh01.corp.internal

Aftenging biðlarans lætur fjarsetuna ganga áfram, og netstengingar hennar og skyggndu skírteini geta haldist nothæf þar til sú seta endar. Skráðu þig út, eða endaðu setuna með skýrum hætti, og staðfestu að teljarinn neðar hætti að færast áfram eftir það. Brotttökupróf sem aðeins lokar loki fartölvunnar sannar ekkert. Keyrðu sama próf einu sinni með óvirkan reikning og einu sinni með afturkallaða skjáborðsheimild, og skráðu síðan hvað tilfangið skráði í hverju tilviki.