RDP үчүн уруксат эрежесин кошуу VPN кирүүңүздү тар кылбайт

План акылга сыярлык угулат: бар Алыскы иштөө столуна уруксатты өзгөртпөй коюп, кирүүгө тийиш болгон жалгыз VPN кардары үчүн кичине уруксат кошуңуз. Windows Firewall андай иштебейт. Эрежелер эң так жазуу жеңген иреттелген тизме эмес, жана кенен уруксаттын жанындагы тар уруксат эч нерсени өзгөртпөйт, себеби кенен уруксат мурун киргизгендердин баарын дагы эле киргизет. Кызматты тар кылуу дегенибиз — ишти аткарып жаткан уруксаттын өзүн оңдоо.

Сиз кошкон эреже маанилүү эреже эмес

Windows Firewall машинага тиешелүү саясат кампаларындагы бардык колдонулуучу кирүү эрежелерин баалайт, анан кандайдыр бир уруксат дал келеби жана кандайдыр бир бөгөт аны басып өтөбү деп чечет. Эреже кошуу уруксат кошот; ал мурунтан бар уруксаттарды алып салбайт же тактабайт.

Ошондуктан суроо эч качан «сиз эмне коштуңуз» эмес. Суроо — жергиликтүү саясат, домен саясаты жана профилдин демейки маанилери бириктирилгенден кийин натыйжалуу саясатта эмне бар дегенде. Бир жергиликтүү эрежеси бар жумуш станциясын ойлонуу жеңил; доменге кошулган серверди ойлонуу кыйын.

Ошондуктан администратор туура көрүнгөн өзгөртүү жасап, аны туура эмес машинадан текшерип, иштеди деп жыйынтык чыгара алат. Четтетилген булак эч качан текшерилген эмес. Бир гана ийгиликти далилдеген сынак өзгөртүүнүн максатынын жарымынан азын далилдейт.

Сервер кайсы даректи көрөрүн аныктаңыз

Бир нерсени чектөөдөн мурун Windows хостунда бир уруксат берилген сессияны байкап, сервер билдирген булак дарегин жазып алыңыз. Бул ар дайым кардар өзүндө бар деп ойлогон дарек эмес.

Эгер VPN шлюзу кардар даректерин сактаса, сервер кардардын туннель дарегин көрөт жана дарек менен чектелген эреже маанилүү болот. Эгер шлюз которсо, ар бир кардар шлюздун дареги катары келет жана ошол дарекке чектөө анын артындагы ар бир кардарга кирүү берет. Анда эреже туура эмес нерсеге карата так.

Бул эки долбоорго ар башка жооп керек. Биринчисин брандмауэр эрежесинде билдирүүгө болот; экинчисин инсандык дагы эле бар жерде, башкача айтканда VPNдын өзүндө же кызматтын алдындагы аутентификацияланган шлюзде аткаруу керек.

Брандмауэр чыпкасы тармактык которуу таштап кеткен инсандыкты кайтара албайт, дарек канчалык кылдат жазылса да.

Натыйжалуу эреженин ээсин өзгөртүңүз

Натыйжалуу кирүү саясатын карап чыгып, азыр RDP трафигине уруксат берген ар бир эрежени табыңыз, анын ичинде көрсөтүлүүчү атында 3389 порту эч качан аталбаган эрежелер да бар. Кызмат жана колдонмо менен чектелген эрежелер да эсептелет, кээ бир RDP жайгаштыруулары кошкон UDP транспорту да.

Анан бар эрежелерди аларга ээлик кылган кампа аркылуу оңдоңуз. Домен саясаты да аныктаган эрежеге жергиликтүү оңдоо бириктирилиши, этибарга алынбашы же үстүнөн жазылышы мүмкүн, жана ага таянбастан мурун кайсынысы болорун билүү пайдалуу.

Бул буйруктар активдүү эрежелерди табат, бирине тиркелген дарек чыпкасын көрсөтөт жана камроо өзгөрүүсүн алдын ала көрсөтөт:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Бул жердеги эреже аттары кароо тапкан нерсенин ордун толтуруучу белгилер, ал эми алдын ала көрүү желеги даректеги ката сизди оңдоп жаткан серверден кулпулап койбошу үчүн бар.

Адегенде бөгөттөп, анан уруксат берүү — башка модель

Башка брандмауэрлердин адаттары — кенен бөгөт жазып, анын үстүнө тар уруксат коюу. Windowsта ачык бөгөт адатта уруксаттан басымдуу болот, ошондуктан бул тартип бир кардар үчүн өзгөчөлүк эмес, эч ким жете албаган кызмат жаратат. Натыйжа — бузулган RDP кызматына окшош үзгүлтүк. Бул чындыгында артыкчылык катасы, ал эми оңдоо — дагы бир уруксат кошуу эмес, бөгөттү алып салуу.

Активдүү профилдерде кирүүнү демейки бөгөттөө жүрүм-турумун сактап, анын ордуна конкреттүү уруксаттарды тар кылыңыз. Бул машинаны бири-бирине каршы эки эреженин ордуна бир түшүнүктүү абалда калтырат, алардын өз ара аракети артыкчылыктын деталдарына көз каранды.

Аны экинчи булак менен далилдеңиз

Уруксат берилген кардардан жана азыр ийгиликсиз болушу керек болгон булактан сынаңыз. Бир гана ийгиликтүү туташуу уруксат берилген жолдун иштешин далилдейт; ал жаңы эле жасалган четтетүү жөнүндө эч нерсе айтпайды.

Серверде күйгүзүлгөн болсо, сынакты IPv6 аркылуу кайталаңыз, себеби IPv4 гана деген ниет эч ким карабаган кенен IPv6 уруксаты менен катар жашай алат.

Акырында, аутентификацияны жеткиликтүүлүктөн өзүнчө кармаңыз. Тармак деңгээлиндеги аутентификация, эсеп укуктары жана кирүү чектөөлөрү дагы эле сессияны ким колдоно аларын чечет, ал эми брандмауэр ким сурай аларын гана чечет. Түзмөктү кийин алып салуу анын VPN каттоосун жана бул тармактык уруксатты тең алып салышы керек, антпесе сиз чектеген дарек бир күнү башкага таандык болот.