VPN-aðgangur án réttinda fyrir fjartölvu: fjögur aðskilin hlið

Notandi tengist VPN, opnar skráardeilingu og innra forrit, og þá skilar RDP-tilraun „notandareikningurinn hefur ekki heimild fyrir fjartengingu“. Ekkert er rangt við göngin í þeirri skilaboðum. Fjögur sjálfstæð hlið standa milli VPN-reiknings og gagnvirkrar skjáborðs, og aðeins hið síðasta framleiddi það. Fólk bregst venjulega við með því að bæta reikningnum við Administrators, sem veitir miklu meira en skjáborðið og lagar ekki hliðið ef hópstefna synjar því. Hér er hvað hvert hlið gerir í raun og hvernig á að breyta aðeins því sem synjar.

Fjögur hlið í föstum röðum

Gáttin ákveður fyrst hvort auðkennið megi yfirhöfuð koma upp göngum: RADIUS-stefna, hópskilyrði, vottorðsathugun, Access Server-heimild. Síðan ákveða leiðsögn og eldveggir hvort pakkinn úr göngulauginni nái TCP 3389 hlustanda áfangans. Síðan sannar NLA-handaband biðlarans reikninginn gagnvart áfangann. Aðeins eftir þessi þrjú athugar staðbundna öryggisyfirvaldið hvort reikningurinn hafi innskráningarréttinn sem gagnvirk fjarlota krefst.

Þar sem röðin er föst felur hvert hlið þau sem eru fyrir aftan. Misheppnuð göng segja ekkert um leiðsögn; lokuð port segja ekkert um innskráningarréttinn; árangursrík portprófun segir ekkert um inngöngu. Þess vegna er „VPN virkar en RDP ekki“ ekki eitt vandamál heldur landamæri milli tveggja þessara hliða, og þess vegna er villutextinn fljótlegasta leiðin til að vita hvaða hlið þú rakst á.

Rétturinn sem synjar lotunni í raun

Innskráning á fjartölvuna krefst notandaréttarins Leyfa innskráningu í gegnum Fjartölvuþjónustur, SeRemoteInteractiveLogonRight. Hann er athugaður við innskráningu, ekki við uppsetningu ganga, og þess vegna getur reikningur vafrað netinu í klukkustundir og samt verið synjaður um skjáborð. Glugginn sem sýnir hann er undir Staðbundnar stefnur, Úthlutun notandaréttinda, og léniðsígildið er í GPO.

Sjálfgefin aðild fer eftir hlutverki vélarinnar: vinnustöðvar og aðildarþjónar veita það Administrators og Remote Desktop Users, en léniðsstýring aðeins Administrators. Þessi eina staðreynd útskýrir mestu ruglið, því sami reikningur tekst á skráarþjóni og mistekst á DC. Synjunaréttur vinnur á samsvarandi heimildarrétti óháð hópaðild, svo reikningi sem bæði er leyft og synjað er synjað. Breiður synjunahópur getur náð stjórnanda sem var bætt við sem greiða.

Lestu virku stefnuna, ekki staðbundna gluggann

Staðbundin stefna er yfirskrifuð af hvaða léniðs-GPO sem skilgreinir sama rétt, svo staðbundna snap-in getur sýnt rétt útlit lista á meðan raunverulegt ástand er annað. Flyttu út það sem vélin beitir í raun, leitaðu síðan að réttinum og lestu SID í stað skjánafna:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Í þeirri úttak er *S-1-5-32-544 Administrators og *S-1-5-32-555 Remote Desktop Users.

Ef hvorugt birtist getur enginn nema stefnueigandi opnað skjáborð, hvað sem staðbundni glugginn um notendur og hópa leggur til. Þá nefnir gpresult GPO sem sigraði, og það er hluturinn sem þú verður að breyta; að breyta staðbundinni stefnu á léniðstengdri vél er prófun, ekki lagfæring.

Veittu þröngasta réttinn sem passar

Venjulega svarið er hópurinn Remote Desktop Users á áfangann. Hann ber réttinn sjálfgefið, er miklu minni en Administrators og aðskilur „má opna skjáborð“ frá „má stjórna þjóninum“. Þar sem stefnan hefur endurskilgreint réttinn skýrt skaltu bæta hópnum eða reikningnum við þá stefnu í stað þess að bæta við hópi sem enginn ætlaði sem aðgangsstýringu.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Athugaðu synjunalistann áður en þú bætir einhverju við. Ef synjunaréttur nefnir hóp sem inniheldur notandann er rétta breytingin að fjarlægja reikninginn úr þeim hópi eða þrengja synjunina, ekki að bæta annarri heimild við annars staðar. Skráðu hvaða rétt þú breyttir og hvar, því síðari GPO-endurhleðsla mun hljóðlega endurheimta fyrra ástand og miðinn opnast aftur með sama skilaboðum.

Haltu netleiðinni sem aðskilinni ákvörðun

VPN-hópurinn þarf ekki að ná til hvers ports. Þegar hópur þarf forrit en ekki skjáborð, eldveggjarregla sem takmarkast við göngulaugina og port forritsins gefur þeirri stefnu gildi, á meðan innskráningarrétturinn helst ósnortinn.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Eigin stilling OpenVPN fyrir hvern biðlara og hópheimildir Access Server geta takmarkað áfangaforskeytin í sama anda; hvorugt þeirra veitir Windows-innskráningarrétt og innskráningarréttur getur ekki opnað port. Haltu þeim í aðskildum breytingagluggum, því portregla og réttur eru samþykkt af mismunandi fólki.

Sannreyndu í sömu röð og hliðin gilda: getur reikningurinn komið upp göngunum, nær lotan hlustandanum, sannar biðlarinn sig og hefur reikningurinn réttinn. Ping sem mistekst á meðan portprófun tekst er eldveggur sem svarar ICMP öðruvísi, ekki sönnun þess að RDP sé lokað. Tilvísun Microsoft um innskráningarréttinn listar sjálfgefin gildi eftir hlutverki vélar og regluna að synjun vinnur heimild.