VPN’ге алыскы жумуш үстөлүнүн укуктары жок кирүү: төрт өзүнчө дарбаза

Колдонуучу VPN’ге туташат, файл бөлүшүүнү жана ички колдонмону ачат, анан RDP аракети «колдонуучу эсеби алыскы кирүүгө укуктуу эмес» деп кайтарат. Бул билдирүүдө туннелде туура эмес эч нерсе жок. VPN эсеби менен интерактивдүү жумуш үстөлүнүн ортосунда төрт көз карандысыз дарбаза бар жана аны акыркысы гана жараткан. Адамдар адатта эсепти Administrators’ке кошушат, бул жумуш үстөлүнөн алда канча көп укук берет жана топтук саясат тыюу салса дарбазаны оңдобойт. Мына ар бир дарбаза чындыгында эмне кылат жана баш тарткан дарбазаны гана кантип өзгөртүү керек.

Төрт дарбаза туруктуу тартипте

Дарбаза адегенде инсандык туннель кура алабы же жокпу чечет: RADIUS саясаты, топ шарты, сертификат текшерүүсү, Access Server уруксаты. Андан кийин маршруттоо жана firewall’дор туннель бассейнинен келген пакет максаттын TCP 3389 угуучусуна жетеби же жокпу чечишет. Андан кийин клиенттин NLA кол алышуусу эсепти максаттын алдында аутентификациялайт. Ушул үчөөнөн кийин гана жергиликтүү коопсуздук органы эсепте интерактивдүү алыскы сессия талап кылган кирүү укугу барбы же жокпу текшерет.

Тартип туруктуу болгондуктан, ар бир дарбаза артындагыларды жашырат. Ийгиликсиз туннель маршруттоо жөнүндө эч нерсе айтпайт; тосмолонгон порт кирүү укугу жөнүндө эч нерсе айтпайт; ийгиликтүү порт текшерүүсү киргизүү жөнүндө эч нерсе айтпайт. Ошондуктан «VPN иштейт, бирок RDP иштебейт» бир көйгөй эмес, ушул дарбазалардын экөөнүн ортосундагы чек, жана ошондуктан ката текстиси кайсы дарбазага туш болгонуңузду билүүнүн эң тез жолу.

Сессияны чындыгында баш тарткан укук

Алыскы жумуш үстөлүнө кирүү үчүн Алыскы жумуш үстөлү кызматтары аркылуу кирүүгө уруксат берүү колдонуучу укугу, б.а. SeRemoteInteractiveLogonRight керек. Ал кирүү учурунда текшерилет, туннель куруу учурунда эмес, ошондуктан эсеп сааттап тармакта жүрүп, баары бир жумуш үстөлүнөн баш тартылышы мүмкүн. Аны көрсөткөн диалог Жергиликтүү саясаттар, Колдонуучу укуктарын дайындоо бөлүмүндө, ал эми домендик баламасы GPO’до.

Демейки мүчөлүк машинанын ролуна жараша болот: жумуш станциялары жана мүчө серверлер аны Administrators жана Remote Desktop Users топторуна берет, ал эми домен контроллери Administrators’ке гана берет. Ушул бир факт баш аламандыктын көп бөлүгүн түшүндүрөт, анткени ошол эле эсеп файлдык серверде ийгиликтүү, DC’де ийгиликсиз болот. Баш тартуу укугу топ мүчөлүгүнө карабастан тиешелүү уруксат укугунан басымдуу, ошондуктан бир эле учурда уруксат берилген жана тыюу салынган эсеп баш тартылат. Кең баш тартуу тобу жакшылык катары кошулган администраторду да кармай алат.

Күчүндөгү саясатты окуңуз, жергиликтүү диалогду эмес

Жергиликтүү саясатты ошол эле укукту аныктаган ар кандай домендик GPO басып жазат, ошондуктан жергиликтүү snap-in туура көрүнгөн тизме көрсөтүшү мүмкүн, ал эми чыныгы абал башкача болушу мүмкүн. Машина чындыгында эмнени колдонсун экспорттоп, анан укукту издеп, көрсөтүлгөн аттардын ордуна SID’лерди окуңуз:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Бул чыгууда *S-1-5-32-544 — Administrators, ал эми *S-1-5-32-555 — Remote Desktop Users.

Эгер экөө тең көрүнбөсө, жергиликтүү колдонуучулар жана топтор диалогу эмнени сунуштабасын, саясат ээсинен башка эч ким жумуш үстөлүн ача албайт. Андан кийин gpresult жеңген GPO’ну атайт, жана дал ошол объектини түзөтүү керек; доменге кошулган машинада жергиликтүү саясатты өзгөртүү — сыноо, оңдоо эмес.

Туура келген эң кууш укукту бериңиз

Кадимки жооп — максаттагы Remote Desktop Users тобу. Ал укукту демейки боюнча алып жүрөт, Administrators’тен алда канча кичине жана «жумуш үстөлүн ача алат» менен «серверди башкара алат» ортосун бөлөт. Саясат укукту ачык кайра бөлгөн жерде, эч ким кирүү көзөмөлү катары ойлогон эмес топту кошуунун ордуна, ошол топту же эсепти ошол саясатка кошуңуз.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Бир нерсе кошпостон мурун баш тартуу тизмесин текшериңиз. Эгер баш тартуу укугу колдонуучуну камтыган топту атаса, туура өзгөртүү — эсепти ошол топтон чыгаруу же баш тартууну куушуруу, башка жерге экинчи уруксат кошуу эмес. Кайсы укукту жана кайда өзгөрткөнүңүздү жазып коюңуз, анткени кийинки GPO жаңыртуусу мурунку абалды үнсүз калыбына келтирет жана билет ошол эле билдирүү менен кайра ачылат.

Тармак жолун өзүнчө чечим катары кармаңыз

VPN тобу ар бир портка жетүүгө милдеттүү эмес. Топко жумуш үстөлү эмес, колдонмо керек болгондо, туннель бассейни жана колдонмо порту менен чектелген firewall эрежеси ошол саясатты ишке ашырат, ал эми кирүү укугу тийбеген бойдон калат.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN’дин өзүнүн ар бир клиент үчүн конфигурациясы жана Access Server топ уруксаттары максат префикстерин ошол эле рухта чектей алат; алардын эч бири Windows’ко кирүү укугун бербейт, ал эми кирүү укугу порт ача албайт. Аларды өзүнчө өзгөртүү терезелеринде кармаңыз, анткени порт эрежесин жана укукту ар башка адамдар бекитет.

Дарбазалар колдонулган тартипте текшериңиз: эсеп туннель кура алабы, сессия угуучуга жетеби, клиент аутентификациялайбы жана эсепте укук барбы. Порт текшерүүсү ийгиликтүү болгондо ийгиликсиз ping — ICMP’ге башкача жооп берген firewall, RDP тосмолонгонунун далили эмес. Microsoft’тун кирүү укугу боюнча маалымдамасы машина ролу боюнча демейкилерди жана баш тартуу уруксаттан басымдуу болгон эрежени тизмелейт.