VPN-Zougang ouni Remote-Desktop-Rechter: véier getrennte Paarten

E Benotzer verbënnt sech mam VPN, mécht eng Dateifrëndschaft an eng intern Applikatioun op, an duerno gëtt en RDP-Versuch „de Benotzerkont ass net autoriséiert fir eng Remoteumeldung“ zréck. An dëser Meldung ass näischt falsch mam Tunnel. Véier onofhängeg Paarten stinn tëscht engem VPN-Kont an engem interaktiven Desktop, a just déi lescht huet et produzéiert. D’Leit reagéieren normalerweis andeems se de Kont zu Administrators bäifügen, wat vill méi wéi den Desktop gëtt an d’Paart net reparéiert, wann eng Gruppenpolitik se verweigert. Hei ass, wat all Paart tatsächlech mécht, a wéi een nëmmen déi ännert, déi verweigert.

Véier Paarten an enger fester Reiefolleg

Den Gateway entscheet als éischt, ob d’Identitéit iwwerhaapt en Tunnel opbaue kann: eng RADIUS-Politik, eng Gruppebedingung, eng Zertifikatspréifung, eng Access-Server-Berechtegung. Duerno entscheeden Routing a Firewallen, ob de Pak aus dem Tunnel-Pool den TCP-3389-Listener vum Zil erreecht. Duerno authentifizéiert den NLA-Handshake vum Client de Kont géint d’Zil. Eréischt no dësen dräi préift déi lokal Sécherheetsautoritéit, ob de Kont dat Umeldungsrecht huet, dat eng interaktiv Remotesessioun verlaangt.

Well d’Reiefolleg fest ass, verstoppt all Paart déi, déi hannendru sinn. En feelgeschloenen Tunnel seet näischt iwwer Routing; en blockéierte Port seet näischt iwwer d’Umeldungsrecht; en erfollegräichen Porttest seet näischt iwwer d’Zouloossung. Dofir ass „de VPN funktionéiert, awer RDP net“ net ee Problem, mä eng Grenz tëscht zwou vun dëse Paarten, an dofir ass den Feelertext de séiersten Wee, fir erauszefannen, op wéi eng Dir gestouss sidd.

Dat Recht, dat d’Sessioun tatsächlech verweigert

D’Umeldung um Remote-Desktop verlaangt d’Benotzerrecht Umeldung iwwer Remote-Desktop-Servicer erlaben, SeRemoteInteractiveLogonRight. Et gëtt bei der Umeldung gepréift, net beim Tunnelopbau, dofir kann e Kont Stonnen am Netzwierk ëmmerfort surfen an trotzdem e Desktop verwéiert kréien. Den Dialog, deen et weist, ass ënner Lokal Politiken, Zouweisung vu Benotzerrechter, an d’Dolmäin-Äquivalent ass an enger GPO.

D’Standardmemberschaft hänkt vun der Roll vun der Maschinn of: Aarbechtsstatiounen a Memberserver ginn et Administrators a Remote Desktop Users, während en Domäncontroller et just Administrators gëtt. Dës eenzeg Tatsaach erkläert de gréissten Deel vun der Verwirrung, well dee selwechte Kont op engem Dateiserver geléngt an op engem DC feelt. En Verweigerungsrecht schléit dat entspriechend Erlaabnisrecht onofhängeg vun der Gruppememberschaft, also gëtt e Kont, deem souwuel erlaabt wéi verweigert gëtt, verweigert. Eng breet Verweigerungsgrupp kann en Administrateur erwëschen, dee als Gonscht bäigefüügt gouf.

Liest déi effektiv Politik, net den lokalen Dialog

D’lokal Politik gëtt vun all Domän-GPO iwwerschriwwen, déi d’selwecht Recht definéiert, also kann den lokale Snap-in eng korrekt ausgesinn Lëscht weisen, während den effektiven Zoustand anescht ass. Exportéiert, wat d’Maschinn tatsächlech applizéiert, sicht dann d’Recht an liest d’SIDen amplaz vun den Anzeigenimm:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

An dëser Ausgab ass *S-1-5-32-544 Administrators an *S-1-5-32-555 ass Remote Desktop Users.

Wann keent vun deenen zwee erschéngt, kann keen ausser engem Politikbesëtzer en Desktop opmaachen, egal wat den lokalen Dialog fir Benotzer a Gruppen virschléit. Dann nennt gpresult de GPO, deen gewonnen huet, an dat ass den Objet, deen Dir musst änneren; lokal Politik op enger domängebonnener Maschinn z’änneren ass en Test, keng Reparatur.

Gitt dat engste Recht, dat passt

Déi gewéinlech Äntwert ass d’Grupp Remote Desktop Users um Zil. Si dréit d’Recht standardméisseg, ass vill méi kleng wéi Administrators, an trennt „däerf en Desktop opmaachen“ vun „däerf de Server verwalten“. Wou d’Politik d’Recht ausdrécklech nei zougewisen huet, füügt d’Grupp oder de Kont zu där Politik bäi, amplaz eng Grupp bäizesetzen, déi keen als Zougriffskontroll geduecht hat.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Préift d’Verweigerungslëscht, ier Dir eppes bäisetzt. Wann en Verweigerungsrecht eng Grupp nennt, déi de Benotzer enthält, ass déi richteg Ännerung, de Kont aus där Grupp ze huelen oder d’Verweigerung ze verschmäleren, net eng zweet Erlaabnis soss anzwousch bäizesetzen. Notéiert, wéi eng Recht Dir wou geännert hutt, well eng spéider GPO-Aktualiséierung de fréieren Zoustand stëll restauréiert an den Ticket mat der selwechter Meldung erëm opgeet.

Haalt den Netzwee als eng eege Decisioun

D’VPN-Grupp muss net all Port erreechen. Wann eng Grupp eng Applikatioun an net en Desktop brauch, gëtt eng Firewallregel, déi op den Tunnel-Pool an den Applikatiounsport begrenzt ass, där Politik Geltung, während d’Umeldungsrecht onberéiert bleift.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN seng eege Konfiguratioun pro Client an d’Gruppeberechtegungen vum Access Server kënnen d’Zilpräfixer am selwechte Geescht aschränken; keen vun deenen zwee gëtt en Windows-Umeldungsrecht, an en Umeldungsrecht kann kee Port opmaachen. Haalt se an getrennte Ännerungsfënsteren, well eng Portregel an e Recht vu verschiddene Leit guttgeheescht ginn.

Iwwerpréift an der selwechter Reiefolleg, wéi d’Paarten huelen: kann de Kont den Tunnel opbauen, erreecht d’Sessioun den Listener, authentifizéiert sech de Client, a huet de Kont d’Recht. E Ping, deen feelt, während den Porttest geléngt, ass eng Firewall, déi anescht op ICMP äntwert, kee Beweis, datt RDP blockéiert ass. Dem Microsoft seng Referenz zum Umeldungsrecht lëscht d’Standarden pro Maschinneroll an d’Reegel, datt Verweigerung Erlaabnis schléit.