RDP ännert de Client: firwat d’Datebank en aneren Host gesäit

Är VPN-Reeg refuséiert d’Datebank an den Ticket gëtt als Firewallfehler zougemaach, wärend dee selwechte Benotzer en publizéierten Desktop opmécht an déi Datebank ouni Problem befrot. Béid Aussoe sinn richteg. Den Desktop ass en anere Client, mat senger eegener Adress op engem Segment, deem d’Reegelen schonn vertrauen, a mat senger eegener Identitéit, wann en weider verbënnt. Wat wéi eng widerspriechlech Reegel ausgesäit, ass meeschtens eng zweet Ufro, déi keen an d’Iwwerpréiwung gesat huet.

Déi zweet Ufro huet hir eege Clientadress

Wann eng Applikatioun bannent der Sessioun eng Verbindung mat der Datebank opmécht, fänkt den TCP-Handshake um Sessiounshost un. Seng Quelladress gehéiert zum Netz vun deem Host, dofir bewäert all Router an Datebankfirewall um Wee d’Segment vum Desktop an net de Tunnelsbaseng, vun deem Ären Notebook komm ass. D’VPN-Adress erschéngt ni an deem Floss. Dofir kann eng Quellbaséiert Refusregele gläichzäiteg richteg an irrelewant sinn.

Liest den Urspronk bannent der Sessioun an net vum Notebook, a test dann de Wee weider vun der selwechter Plaz. Déi zwou Äntwerten sollte sech eens sinn, wéi en Host d’Ufro mécht.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Vergläicht wat d’Sessioun melle mat der Adress, déi d’Datebank fir dee selwechte Moment opgezeechent huet. Wann de Serverlog d’Subnetz vum Desktop anstatt de Tunnelsbaseng weist, hält d’Fro op ze sinn, ob d’Reegel ausgeléist huet, a gëtt, wéi en Host d’Ufro gemaach huet. Dat ass eng aner Enquête mat engem aneren Eegentemer.

D’Identitéit ännert sech zesumme mat der Adresséierung

Déi weider Verbindung authentifizéiert sech meeschtens als Sessiounstoken, gespäichert Umeldungsinformatioun oder Servicekont vun der Applikatioun, an d’Ressource schreift op, wat hir ginn ass. En Audit-Trail, deen e Servicekont op der Datebank weist, beweist dofir net, datt en Mënsch d’Ufro ausgefouert huet. En identifizéiert de Mënsch och net. Nëmmen de Sessiounslog vum Desktop selwer verbënnt déi zwou Opzeechnungen.

D’Autorisatioun geschitt zweemol, an déi zweet Entscheedung gëtt mat aneren Inputen getraff. Déi éischt gëtt engem genannte Benotzer en Desktop-Login, déi zweet gëtt, wat den Token vun deem Benotzer oder de Kont vun der Applikatioun mat der Ressource ka maachen. Eng Helpdesk-Grupp, déi en Desktop opmaache kann, ass net automatesch eng Grupp, déi eng Clientstabelle liese kann.

Kuckt den Token an de Delegatiounswee, ier Dir d’Accèsnotiz schreift. Béides ass bannent der Sessioun ze gesinn, an dat ass déi eenzeg Plaz, wou d’Äntwert keng Vermutung ass.

whoami /groups
klist
query session

Wann d’Applikatioun e Servicekont benotzt, sinn seng Rechter déi, déi weider zielen. D’Rotatioun vun där Umeldungsinformatioun gehéiert an d’Accès-Iwwerpréiwung, net an en operativen Nodennken.

Firwat de direkte Wee nach ëmmer a richteg blockéiert ass

D’Refusregele ass net falsch just well d’Zil op engem anere Wee erreechbar ass. D’Segmentéierung gëtt pro Quell bewäert, an den Desktop sëtzt op engem Segment, dat erlaabt gouf laang ier een en als Wee op d’Datebank geduecht huet. Näischt huet d’Politik ëmgaang. D’Politik beschreift just zwou verschidde Quelle mat zwou verschiddene Resultater.

Wat d’Iwwerpréiwung muss äntweren ass, wat all autoriséiert Sessioun op deem Host starte kann. Browsere mat gespäicherte Sessiounen, gemappte Lauwwerker, Agenten, déi Umeldungsinformatioune halen, a lokal lauschterend Servicer verlängeren all d’Reechwäit vum Desktop, an keen dovun erschéngt am Ticket, deen de Login ginn huet. Dee Verzeechnes ass déi richteg Permissiounsoberfläch.

Zielt se bannent enger Testsessioun op, net aus enger Kalkulationstabell. Eng Handvoll Kommandoen deckt de gréissten Deel vun der Oberfläch.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Wielt d’Grenz bewosst

Dräi Forme passen zu verschiddenen Aufgaben, an d’Wiel sollt der Aufgab folgen an net dem Instrument, dat zoufälleg existéiert. Eng publizéiert Applikatioun weist ee Programm mat sengen eegene Permissiounen, en vollëstännegen Desktop weist alles, wat de Profil vum Benotzer ka maachen, an e schmuelen Datebankkont mat enger Quellbeschränkung weist eng Ressource ganz ouni Desktop. Déi schmuelst Form, déi d’Aarbecht nach fäerdeg mécht, ass déi, déi dokumentéiert muss ginn. Alles méi breet brauch en Grond, deen derbäi geschriwwe gëtt.

Fir ee Bericht ass eng publizéiert Applikatioun oder e beschränkte Kont eng kleng Bewilligung wéi en allgemengen Desktop. Fir Ënnerhalt, dee wierklech verschidden Instrumenter brauch, kann den Desktop richteg sinn, awer dann beschreift d’Genehmegung den ganzen Host an net eng Applikatioun. Frot den Eegentemer vun der Ressource, wéi eng dovun hie sech eens ass.

Datenbewegung ass en eegene Schalter. Clipboard, Laufwerksëmleitung an Downloads kënnen Firmendaten zum Client droen, an eng Applikatioun aus der Ferne lafe loossen hält d’Daten net vun sech aus aus der Ferne.

Kontrolléiert béid Genehmegungen an de Wee fir ewechzehuelen

Zwou Genehmegungen gehéieren an de Rekord: d’Recht, den Desktop z’erreechen an opzemaachen, an d’Recht, Ressourcen aus sengem Bannenzes ze benotzen. Nennt fir all een Eegentemer an haalt déi zweet sichtbar fir jiddereen, deen d’Ressource iwwerpréift. Et ass déi zweet Androung, déi en Auditor froe wäert, well se d’Reechwäit beschreift an net den Antrëtt. Schreift béides, ier d’Ännerung genehmegt gëtt, net nom éischten Tëschefall.

Test dann d’Ewechhuelen, well eng getrennte Sessioun de Grond dofir iwwerliewe kann. D’Sessiounstabell ass déi séischt Plaz, fir ze gesinn, wat nach leeft.

query session
query user
qwinsta /server:rdsh01.corp.internal

Den Disconnect vum Client léisst déi remote Sessioun lafen, an hir Netzwierkverbindungen a gecachte Umeldungsinformatioune kënnen benotzbar bleiwen, bis déi Sessioun ophält. Loggt Iech aus, oder beendet d’Sessioun ausdrécklech, a bestätegt, datt de Compteur ënnen duerno ophält weiderzekommen. En Ewechhuelen-Test, deen nëmmen den Deckel vum Notebook zoumécht, beweist näischt. Maacht dee selwechten Test eemol mat deaktivéiertem Kont an eemol mat ewechgehollener Desktop-Permissioun, a schreift dann op, wat d’Ressource an all Fall geloggt huet.