RDP-ის ნების დამატება თქვენს VPN წვდომას არ ავიწროებს

გეგმა გონივრულად ჟღერს: დატოვეთ არსებული დისტანციური სამუშაო მაგიდის ნება ისე, როგორც არის, და დაამატეთ პატარა იმ ერთადერთი VPN კლიენტისთვის, რომელმაც უნდა მიიღოს წვდომა. Windows Firewall ასე არ მუშაობს. წესები არ არის დალაგებული სია, სადაც ყველაზე კონკრეტული ჩანაწერი იმარჯვებს, და ვიწრო ნება ფართოს გვერდით არაფერს ცვლის, რადგან ფართო კვლავ უშვებს ყველას, ვისაც უკვე უშვებდა. სერვისის შევიწროება ნიშნავს იმ ნების რედაქტირებას, რომელიც უკვე ასრულებს სამუშაოს.

წესი, რომელსაც ამატებთ, არ არის ის წესი, რომელსაც მნიშვნელობა აქვს

Windows Firewall აფასებს ყველა შესაბამის შესვლის წესს იმ პოლიტიკის საცავებში, რომლებიც მანქანას ეხება, შემდეგ წყვეტს, ემთხვევა თუ არა რომელიმე ნება და აჭარბებს თუ არა მას რომელიმე ბლოკი. წესის დამატება ნებას ამატებს; ის არ შლის და არ აკონკრეტებს უკვე არსებულ ნებებს.

ამიტომ კითხვა არასდროს არის ის, თუ რა დაამატეთ. კითხვაა, რას შეიცავს ეფექტური პოლიტიკა ლოკალური პოლიტიკის, დომენის პოლიტიკისა და პროფილის ნაგულისხმევი მნიშვნელობების გაერთიანების შემდეგ. ერთი ლოკალური წესის მქონე სამუშაო სადგურზე ფიქრი ადვილია; დომენზე მიერთებულ სერვერზე არა.

ამიტომაც ადმინისტრატორს შეუძლია გააკეთოს სწორად რომ გამოიყურება ცვლილება, გამოსცადოს ის არასწორი მანქანიდან და დაასკვნას, რომ იმუშავა. გამორიცხული წყარო არასდროს გამოცდილა. ტესტი, რომელიც მხოლოდ წარმატებას ამტკიცებს, ცვლილების მიზნის ნახევარზე ნაკლებს ამტკიცებს.

გაარკვიეთ, რომელ მისამართს ხედავს სერვერი

სანამ რაიმეს შემოსაზღვრავთ, დააკვირდით ერთ დაშვებულ სესიას Windows ჰოსტზე და ჩაწერეთ ის წყაროს მისამართი, რომელსაც სერვერი იტყობინება. ეს ყოველთვის არ არის ის მისამართი, რომელიც კლიენტს, მისი აზრით, აქვს.

თუ VPN კარიბჭე ინახავს კლიენტების მისამართებს, სერვერი ხედავს კლიენტის გვირაბის მისამართს და მისამართით შემოსაზღვრულ წესს აქვს აზრი. თუ კარიბჭე თარგმნის, ყოველი კლიენტი მოდის კარიბჭის მისამართით და ამ მისამართზე შემოსაზღვრა წვდომას აძლევს მის უკან მდგარ ყოველ კლიენტს. მაშინ წესი ზუსტია არასწორ რამეზე.

ეს ორი დიზაინი სხვადასხვა პასუხს საჭიროებს. პირველი შეიძლება გამოიხატოს firewall-ის წესში; მეორე უნდა აღსრულდეს იქ, სადაც იდენტობა ჯერ კიდევ არსებობს, ანუ თავად VPN-ში ან სერვისის წინ მდგარ ავთენტიფიცირებულ კარიბჭეში.

Firewall-ის ფილტრს არ შეუძლია აღადგინოს ის იდენტობა, რომელიც ქსელურმა თარგმანმა გადააგდო, რაოდენ ყურადღებითაც არ უნდა იყოს მისამართი აკრეფილი.

შეცვალეთ ეფექტური წესის მფლობელი

შეამოწმეთ ეფექტური შესვლის პოლიტიკა და იპოვეთ ყოველი წესი, რომელიც ახლა უშვებს RDP ტრაფიკს, მათ შორის წესები, რომელთა ნაჩვენები სახელი არასდროს იხსენებს 3389 პორტს. სერვისით და აპლიკაციით შემოსაზღვრული წესებიც ითვლება, ისევე როგორც UDP ტრანსპორტი, რომელსაც ზოგი RDP განლაგება რთავს.

შემდეგ დაარედაქტირეთ არსებული წესები იმ საცავის მეშვეობით, რომელიც ფლობს მათ. წესის ლოკალური რედაქტირება, რომელსაც დომენის პოლიტიკაც განსაზღვრავს, შეიძლება გაერთიანდეს, უგულებელყოფილ იქნას ან გადაიწეროს, და ღირს იცოდეთ რომელი ხდება სანამ მას დაეყრდნობით.

ეს ბრძანებები პოულობს აქტიურ წესებს, აჩვენებს ერთ-ერთზე მიმაგრებულ მისამართის ფილტრს და წინასწარ აჩვენებს ფარგლების ცვლილებას:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

წესების სახელები აქ არის იმის ჩამნაცვლებელი, რაც მიმოხილვამ იპოვა, და წინასწარი ჩვენების დროშა იმისთვის არსებობს, რომ მისამართში შეცდომამ არ ჩაგკეტოთ იმ სერვერიდან, რომელსაც არედაქტირებთ.

ჯერ დაბლოკვა, შემდეგ დაშვება სხვა მოდელია

სხვა firewall-ების ჩვევაა დაწერონ ფართო ბლოკი და შემდეგ მის ზემოთ ვიწრო ნება. Windows-ში აშკარა ბლოკი ჩვეულებრივ სძლევს ნებას, ამიტომ ეს თანმიმდევრობა ქმნის სერვისს, რომელსაც ვერავინ აღწევს, და არა გამონაკლისს ერთი კლიენტისთვის. შედეგია შეწყვეტა, რომელიც გატეხილ RDP სერვისს ჰგავს. სინამდვილეში ეს პრიორიტეტის შეცდომაა და გამოსწორება ბლოკის მოცილებაა და არა კიდევ ერთი ნების დამატება.

შეინარჩუნეთ ნაგულისხმევი შესვლის დაბლოკვის ქცევა აქტიურ პროფილებზე და სამაგიეროდ შემოსაზღვრეთ კონკრეტული ნებები. ეს ტოვებს მანქანას ერთი გასაგები მდგომარეობით ორი წინააღმდეგობრივი წესის ნაცვლად, რომელთა ურთიერთქმედება პრიორიტეტის დეტალებზეა დამოკიდებული.

დაამტკიცეთ მეორე წყაროთი

გამოსცადეთ დაშვებული კლიენტიდან და იმ წყაროდან, რომელიც ახლა უნდა ჩავარდეს. ერთი წარმატებული კავშირი მხოლოდ იმას ამტკიცებს, რომ დაშვებული გზა მუშაობს; ის არაფერს ამბობს იმ გამორიცხვაზე, რომელიც ახლახან გააკეთეთ.

გაიმეორეთ ტესტი IPv6-ზე, თუ სერვერზე ის ჩართულია, რადგან მხოლოდ IPv4-ის განზრახვა შეიძლება თანაარსებობდეს ფართო IPv6 ნებასთან, რომელსაც არავინ შეხედა.

ბოლოს, შეინახეთ ავთენტიფიკაცია მიღწევადობისგან განცალკევებით. ქსელის დონის ავთენტიფიკაცია, ანგარიშის უფლებები და შესვლის შეზღუდვები კვლავ წყვეტს, ვის შეუძლია სესიის გამოყენება, ხოლო firewall მხოლოდ იმას წყვეტს, ვის შეუძლია კითხვა. მოწყობილობის მოგვიანებით მოცილებამ უნდა მოაცილოს როგორც მისი VPN რეგისტრაცია, ისე ეს ქსელური ნება, თორემ თქვენ მიერ შემოსაზღვრული მისამართი ოდესღაც სხვას დაეკუთვნება.