RDP рұқсат ережесін қосу VPN қатынасын тарылтпайды

Жоспар ақылға қонымды естіледі: бар Қашықтағы жұмыс үстелі рұқсатын сол күйінде қалдырып, қатынасы болуы тиіс жалғыз VPN клиенті үшін шағын рұқсат қосыңыз. Windows Firewall олай жұмыс істемейді. Ережелер ең нақты жазба жеңетін реттелген тізім емес, ал кең рұқсаттың жанындағы тар рұқсат ештеңені өзгертпейді, себебі кең рұқсат бұрын рұқсат бергендердің бәріне әлі де рұқсат береді. Қызметті тарылту дегеніміз — қазірдің өзінде жұмысты атқарып тұрған рұқсаттың өзін өңдеу.

Сіз қосатын ереже маңызды ереже емес

Windows Firewall машинаға қатысты саясат қоймаларындағы барлық қолданылатын кіріс ережелерін бағалайды, содан кейін қандай да бір рұқсат сәйкес келе ме және қандай да бір бұғаттау оны басып оза ма, соны шешеді. Ереже қосу рұқсат қосады; ол бұрыннан бар рұқсаттарды жоймайды немесе нақтыламайды.

Сондықтан сұрақ ешқашан «сіз не қостыңыз» емес. Сұрақ — жергілікті саясат, домен саясаты және профильдің әдепкі мәндері біріктірілгеннен кейін тиімді саясатта не бар дегенде. Бір жергілікті ережесі бар жұмыс станциясын ойлау оңай; доменге қосылған серверді ойлау қиын.

Сондықтан әкімші дұрыс көрінетін өзгеріс жасап, оны дұрыс емес машинадан тексеріп, ол жұмыс істеді деп қорытынды жасай алады. Шеттетілген дереккөз ешқашан тексерілмеді. Тек сәттілікті дәлелдейтін сынақ өзгерістің мақсатының жартысынан азын дәлелдейді.

Сервер қай мекенжайды көретінін анықтаңыз

Бірдеңені шектемес бұрын Windows хостында бір рұқсат етілген сессияны бақылап, сервер хабарлайтын бастапқы мекенжайды жазып алыңыз. Бұл әрдайым клиент өзінде бар деп ойлайтын мекенжай емес.

Егер VPN шлюзі клиент мекенжайларын сақтаса, сервер клиенттің туннель мекенжайын көреді және мекенжаймен шектелген ереже мағыналы болады. Егер шлюз аударса, әр клиент шлюздің мекенжайы ретінде келеді және сол мекенжайға шектеу оның артындағы әр клиентке қатынас береді. Сонда ереже дұрыс емес нәрсеге қатысты дәл.

Бұл екі жобаға әртүрлі жауап керек. Біріншісін брандмауэр ережесінде көрсетуге болады; екіншісін сәйкестік әлі бар жерде, яғни VPN-ның өзінде немесе қызметтің алдындағы аутентификацияланған шлюзде орындау керек.

Брандмауэр сүзгісі желілік аударма тастап кеткен сәйкестікті қайтара алмайды, мекенжай қаншалықты мұқият терілсе де.

Тиімді ереженің иесін өзгертіңіз

Тиімді кіріс саясатын қарап шығып, қазір RDP трафигіне рұқсат беретін әр ережені табыңыз, оның ішінде көрсетілетін атауында 3389 порты ешқашан аталмайтын ережелер де бар. Қызметпен және қолданбамен шектелген ережелер де есептеледі, кейбір RDP орналастырулары қосатын UDP көлігі де.

Содан кейін бар ережелерді оларға иелік ететін қойма арқылы өңдеңіз. Домен саясаты да анықтайтын ережеге жергілікті өңдеу біріктірілуі, елемеуі немесе үстінен жазылуы мүмкін, және оған сүйенбес бұрын қайсысы болатынын білу пайдалы.

Бұл командалар белсенді ережелерді табады, біреуіне тіркелген мекенжай сүзгісін көрсетеді және ауқым өзгерісін алдын ала қарайды:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Мұндағы ереже атаулары шолу тапқан нәрсенің орнын басатын белгілер, ал алдын ала қарау жалаушасы мекенжайдағы қате енгізу сізді өңдеп жатқан серверден құлыптамауы үшін бар.

Алдымен бұғаттап, содан кейін рұқсат ету — басқа модель

Басқа брандмауэрлердің әдеті — кең бұғаттау жазып, оның үстіне тар рұқсат қою. Windows-та айқын бұғаттау әдетте рұқсаттан басым болады, сондықтан бұл рет бір клиент үшін ерекшелік емес, ешкім жете алмайтын қызмет жасайды. Нәтиже — бүлінген RDP қызметіне ұқсайтын үзіліс. Бұл шын мәнінде басымдық қатесі, ал түзету — тағы бір рұқсат қосу емес, бұғаттауды алып тастау.

Белсенді профильдерде кірісті әдепкі бұғаттау тәртібін сақтап, оның орнына нақты рұқсаттарды тарылтыңыз. Бұл машинаны бір-біріне қайшы екі ереже орнына бір түсінікті күйде қалдырады, олардың өзара әрекеті басымдық бөлшектеріне тәуелді.

Оны екінші дереккөзбен дәлелдеңіз

Рұқсат етілген клиенттен және енді сәтсіз болуы тиіс дереккөзден сынаңыз. Бір ғана сәтті қосылым рұқсат етілген жолдың жұмыс істейтінін дәлелдейді; ол жаңа ғана жасаған шеттету туралы ештеңе айтпайды.

Серверде қосылған болса, сынақты IPv6 арқылы қайталаңыз, өйткені тек IPv4-ке арналған ниет ешкім қарамаған кең IPv6 рұқсатымен қатар өмір сүре алады.

Соңында, аутентификацияны қолжетімділіктен бөлек ұстаңыз. Желі деңгейіндегі аутентификация, тіркелгі құқықтары және кіру шектеулері әлі де сессияны кім пайдалана алатынын шешеді, ал брандмауэр тек кім сұрай алатынын шешеді. Құрылғыны кейінірек алып тастау оның VPN тіркелімін де, осы желілік рұқсатты да алып тастауы керек, әйтпесе сіз шектеген мекенжай бір күні басқа біреуге тиесілі болады.