RDP клиентті өзгертеді: дерекқор неге басқа хостты көреді

VPN ережеңіз дерекқорға рұқсат бермейді және билет файрвол ақауы ретінде жабылады, ал сол пайдаланушы жарияланған жұмыс үстелін ашып, ол дерекқордан еш қиындықсыз сұрау жасайды. Екі тұжырым да дұрыс. Жұмыс үстелі басқа клиент, ережелер әлдеқашан сенетін сегментте өз мекенжайы бар және әрі қарай қосылғанда өз сәйкестігі бар. Қайшы келетін ереже болып көрінетін нәрсе әдетте ешкім шолуға қоспаған екінші сұраныс.

Екінші сұраныстың өз клиент мекенжайы бар

Сеанс ішіндегі қолданба дерекқорға қосылым ашқанда, TCP қол алысуы сеанс хостсында басталады. Оның бастапқы мекенжайы сол хосттың желісіне жатады, сондықтан жолдағы әрбір маршрутизатор мен дерекқор файрволы ноутбуғыңыз келген туннель бассейнін емес, жұмыс үстелінің сегментін бағалайды. VPN мекенжайы бұл ағында ешқашан көрінбейді. Сондықтан бастапқы көзге негізделген тыйым ережесі бір уақытта дұрыс та, қатысы жоқ та болуы мүмкін.

Шығу тегін ноутбуқтан емес, сеанс ішінен оқыңыз, содан кейін әрі қарайғы жолды сол жерден тексеріңіз. Екі жауап сұранысты қай хост жасап жатқаны туралы келісуі керек.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Сеанс хабарлаған нәрсені дерекқор сол уақыт үшін тіркеген мекенжаймен салыстырыңыз. Сервер журналы туннель бассейнінің орнына жұмыс үстелінің ішкі желісін көрсетсе, сұрақ ереженің іске қосылғаны туралы болудан қалады да, сұранысты қай хост жасағаны туралы болады. Бұл басқа иесі бар басқа тергеу.

Сәйкестік те мекенжаймен бірге өзгереді

Әрі қарайғы қосылым әдетте сеанс токені, сақталған тіркелгі деректері немесе қолданбаның қызметтік тіркелгісі ретінде аутентификацияланады және ресурс өзіне берілгенін жазады. Сондықтан дерекқорда қызметтік тіркелгіні көрсететін аудит ізі сұрауды адам орындағанын дәлелдемейді. Ол адамды да анықтамайды. Тек жұмыс үстелінің өз сеанс журналы ғана сол екі жазбаны байланыстырады.

Авторизация екі рет болады және екінші шешім басқа кірістермен қабылданады. Біріншісі нақты пайдаланушыға жұмыс үстеліне кіруді береді, екіншісі сол пайдаланушының токені немесе қолданба тіркелгісі ресурспен не істей алатынын береді. Жұмыс үстелін аша алатын қолдау тобы автоматты түрде тұтынушы кестесін оқи алатын топ емес.

Қатынас жазбасын жазбас бұрын токен мен өкілеттік жолын қараңыз. Екеуі де сеанс ішінен көрінеді және бұл жауап болжам емес жалғыз орын.

whoami /groups
klist
query session

Егер қолданба қызметтік тіркелгіні пайдаланса, әрі қарай маңыздысы сол тіркелгінің құқықтары. Сол тіркелгі деректерін айналдыру қатынас шолуына жатады, кейінгі операциялық ойға емес.

Тікелей жол неге әлі де дұрыс түрде жабық

Тыйым ережесі тек мақсатқа басқа жолмен жетуге болатындықтан қате емес. Сегментация әрбір бастапқы көз бойынша бағаланады және жұмыс үстелі біреу оны дерекқорға апарар жол деп ойлағанға дейін әлдеқашан рұқсат етілген сегментте тұр. Ешнәрсе саясатты айналып өтпеді. Саясат жай ғана екі түрлі нәтижесі бар екі түрлі бастапқы көзді сипаттайды.

Шолу жауап беруі тиіс нәрсе — сол хосттағы әрбір рұқсат етілген сеанс нені бастай алады. Сақталған сеанстары бар браузерлер, тіркелген дискілер, тіркелгі деректерін ұстайтын агенттер және жергілікті тыңдайтын қызметтер түгелдей жұмыс үстелінің қол жеткізу аясын кеңейтеді және олардың ешқайсысы кіруге рұқсат берген билетте көрінбейді. Сол тізім нақты рұқсат беті.

Оны электрондық кестеден емес, сынақ сеансының ішінен тізіп шығыңыз. Бірнеше пәрмен беттің көп бөлігін қамтиды.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Шекараны әдейі таңдаңыз

Үш пішін әртүрлі міндеттерге сай келеді және таңдау кездейсоқ бар құралды емес, міндетті ұстануы керек. Жарияланған қолданба өз рұқсаттары бар бір бағдарламаны көрсетеді, толық жұмыс үстелі пайдаланушы профилі істей алатынның барлығын көрсетеді, ал бастапқы көз шектеуі бар тар дерекқор тіркелгісі жұмыс үстелінсіз бір ресурсты көрсетеді. Жұмысты әлі де аяқтайтын ең тар пішін құжаттауға тиіс пішін. Одан кеңірек кез келген нәрсе қасына жазылған себепті қажет етеді.

Бір есеп үшін жарияланған қолданба немесе шектеулі тіркелгі жалпы жұмыс үстелінен кішірек рұқсат. Шынымен бірнеше құрал қажет ететін қызмет көрсету үшін жұмыс үстелі дұрыс болуы мүмкін, бірақ онда мақұлдау бір қолданбаны емес, бүкіл хостты сипаттайды. Ресурс иесінен осылардың қайсысына келісетінін сұраңыз.

Деректер қозғалысы бөлек ажыратқыш. Алмасу буфері, дискілерді қайта бағыттау және жүктеулер компания деректерін клиентке жеткізуі мүмкін, ал қолданбаны қашықтан іске қосу деректерді өздігінен қашықта ұстамайды.

Екі мақұлдауды да, жою жолын да тексеріңіз

Жазбаға екі мақұлдау жатады: жұмыс үстеліне жету және оны ашу құқығы, және оның ішінен ресурстарды пайдалану құқығы. Әрқайсысына иесін атаңыз және екіншісін ресурсты шолған әркімге көрінетін етіп ұстаңыз. Аудитор дәл сол екінші жазба туралы сұрайды, өйткені ол кіруді емес, қол жеткізу аясын сипаттайды. Екеуін де өзгеріс мақұлданбас бұрын жазыңыз, бірінші оқиғадан кейін емес.

Содан кейін жоюды тексеріңіз, өйткені ажыратылған сеанс өз себебінен ұзағырақ өмір сүруі мүмкін. Сеанстар кестесі әлі не істеп жатқанын көрудің ең жылдам жері.

query session
query user
qwinsta /server:rdsh01.corp.internal

Клиентті ажырату қашықтағы сеансты жұмыс істеп тұрған күйде қалдырады және оның желілік қосылымдары мен кэштелген тіркелгі деректері сол сеанс аяқталғанша пайдалы болып қалуы мүмкін. Жүйеден шығыңыз немесе сеансты анық түрде аяқтаңыз, содан кейін төменгі санағыштың одан әрі ілгерілемейтінін растаңыз. Тек ноутбуқтың қақпағын жабатын жою сынағы ешнәрсені дәлелдемейді. Сол сынақты бір рет тіркелгі өшірілген күйде, бір рет жұмыс үстелі рұқсаты алынған күйде жүргізіңіз, содан кейін әр жағдайда ресурс нені тіркегенін жазыңыз.