VPN-ге қашықтағы жұмыс үстелі құқықтарынсыз кіру: төрт бөлек қақпа

Пайдаланушы VPN-ке қосылады, файл алмасуын және ішкі қосымшаны ашады, содан кейін RDP әрекеті «пайдаланушы тіркелгісі қашықтан кіруге рұқсат етілмеген» деп қайтарады. Бұл хабарламада туннельге қатысты ешнәрсе дұрыс емес. VPN тіркелгісі мен интерактивті жұмыс үстелінің арасында төрт тәуелсіз қақпа бар және оны тек соңғысы тудырды. Адамдар әдетте тіркелгіні Administrators-қа қосады, бұл жұмыс үстелінен әлдеқайда көп құқық береді және топтық саясат тыйым салса, қақпаны түзетпейді. Міне, әрбір қақпаның шын мәнінде не істейтіні және тек бас тартқан қақпаны қалай өзгерту керектігі.

Төрт қақпа тіркелген тәртіппен

Қақпа алдымен сәйкестендіру туннель құра алатынын шешеді: RADIUS саясаты, топ шарты, сертификат тексеруі, Access Server рұқсаты. Содан кейін маршруттау мен firewall-дар туннель пулынан келген пакеттің мақсаттың TCP 3389 тыңдаушысына жететінін шешеді. Содан кейін клиенттің NLA қол алысуы тіркелгіні мақсат алдында аутентификациялайды. Осы үшеуінен кейін ғана жергілікті қауіпсіздік органы тіркелгінің интерактивті қашықтан сессия талап ететін кіру құқығы бар-жоғын тексереді.

Тәртіп тіркелгендіктен, әр қақпа артындағыларды жасырады. Сәтсіз туннель маршруттау туралы ештеңе айтпайды; бұғатталған порт кіру құқығы туралы ештеңе айтпайды; сәтті порт сынағы рұқсат ету туралы ештеңе айтпайды. Сондықтан «VPN жұмыс істейді, бірақ RDP істемейді» бір мәселе емес, осы қақпалардың екеуінің арасындағы шекара, және сондықтан қате мәтіні қай қақпаға тап болғаныңызды білудің ең жылдам жолы.

Сессияны шын мәнінде қабылдамайтын құқық

Қашықтағы жұмыс үстеліне кіру үшін Қашықтағы жұмыс үстелі қызметтері арқылы кіруге рұқсат ету пайдаланушы құқығы, яғни SeRemoteInteractiveLogonRight қажет. Ол кіру кезінде тексеріледі, туннель құру кезінде емес, сондықтан тіркелгі сағаттар бойы желіде жүре алады және бәрібір жұмыс үстелінен бас тартылуы мүмкін. Оны көрсететін диалог Жергілікті саясаттар, Пайдаланушы құқықтарын тағайындау бөлімінде, ал домендік баламасы GPO-да.

Әдепкі мүшелік машинаның рөліне байланысты: жұмыс станциялары мен мүше серверлер оны Administrators және Remote Desktop Users топтарына береді, ал домен контроллері тек Administrators-қа береді. Осы бір факті шатасудың көп бөлігін түсіндіреді, өйткені бірдей тіркелгі файлдық серверде сәтті, ал DC-де сәтсіз болады. Бас тарту құқығы топ мүшелігіне қарамастан сәйкес рұқсат құқығынан басым, сондықтан бір мезгілде рұқсат етілген және тыйым салынған тіркелгі қабылданбайды. Кең бас тарту тобы жанашырлық ретінде қосылған әкімшіні де ұстай алады.

Қолданыстағы саясатты оқыңыз, жергілікті диалогты емес

Жергілікті саясатты сол құқықты анықтайтын кез келген домендік GPO басып жазады, сондықтан жергілікті snap-in дұрыс көрінетін тізімді көрсетуі мүмкін, ал нақты күйі басқаша болуы мүмкін. Машина шын мәнінде қолданатынын экспорттаңыз, содан кейін құқықты іздеп, көрсетілетін атаулардың орнына SID-терді оқыңыз:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Бұл шығыста *S-1-5-32-544 — Administrators, ал *S-1-5-32-555 — Remote Desktop Users.

Егер екеуі де көрінбесе, жергілікті пайдаланушылар мен топтар диалогы не ұсынса да, саясат иесінен басқа ешкім жұмыс үстелін аша алмайды. Содан кейін gpresult жеңген GPO-ны атайды, және дәл сол нысанды өңдеу керек; доменге қосылған машинада жергілікті саясатты өзгерту — бұл сынақ, түзету емес.

Сәйкес келетін ең тар құқықты беріңіз

Әдеттегі жауап — мақсаттағы Remote Desktop Users тобы. Ол құқықты әдепкі бойынша алып жүреді, Administrators-тан әлдеқайда кіші және «жұмыс үстелін аша алады» мен «серверді басқара алады» арасын бөледі. Саясат құқықты анық қайта бөлген жерде, ешкім қатынас бақылауы ретінде ойламаған топты қосудың орнына, сол топты немесе тіркелгіні сол саясатқа қосыңыз.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Бірдеңе қоспас бұрын бас тарту тізімін тексеріңіз. Егер бас тарту құқығы пайдаланушыны қамтитын топты атаса, дұрыс өзгеріс — тіркелгіні сол топтан шығару немесе бас тартуды тарылту, басқа жерге екінші рұқсат қосу емес. Қай құқықты және қайда өзгерткеніңізді жазып қойыңыз, өйткені кейінгі GPO жаңартуы алдыңғы күйді үнсіз қалпына келтіреді және билет сол хабарламамен қайта ашылады.

Желі жолын бөлек шешім ретінде ұстаңыз

VPN тобы әр портқа жетуі міндетті емес. Топқа жұмыс үстелі емес, қосымша қажет болғанда, туннель пулымен және қосымша портымен шектелген firewall ережесі сол саясатты іске асырады, ал кіру құқығы тиіспеген күйде қалады.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN-нің әр клиентке арналған конфигурациясы мен Access Server топ рұқсаттары мақсат префикстерін сол рухта шектей алады; олардың ешқайсысы Windows-қа кіру құқығын бермейді, ал кіру құқығы порт аша алмайды. Оларды бөлек өзгеріс терезелерінде ұстаңыз, өйткені порт ережесі мен құқықты әртүрлі адамдар бекітеді.

Қақпалар қолданылатын тәртіппен тексеріңіз: тіркелгі туннель құра ала ма, сессия тыңдаушыға жетеді ме, клиент аутентификациялана ма және тіркелгіде құқық бар ма. Порт сынағы сәтті болғанда сәтсіз ping — ICMP-ге басқаша жауап беретін firewall, RDP бұғатталғанының дәлелі емес. Microsoft-тың кіру құқығы анықтамасы машина рөлі бойынша әдепкілерді және бас тарту рұқсаттан басым болатын ережені тізімдейді.