VPN prieiga be nuotolinio darbalaukio teisių: keturi atskiri vartai

Naudotojas prisijungia prie VPN, atidaro failų bendrinimą ir vidinę programą, o tada RDP bandymas grąžina „naudotojo paskyra neturi teisės prisijungti nuotoliniu būdu“. Šiame pranešime dėl tunelio nieko nėra negerai. Tarp VPN paskyros ir interaktyvaus darbalaukio stovi keturi nepriklausomi vartai, ir tik paskutiniai tai sukėlė. Žmonės paprastai reaguoja pridėdami paskyrą prie Administrators, o tai suteikia daug daugiau nei darbalaukis ir nepataiso vartų, jei grupės politika draudžia. Štai ką iš tikrųjų daro kiekvieni vartai ir kaip pakeisti tik tuos, kurie atmeta.

Keturi vartai fiksuota tvarka

Vartai pirmiausia nusprendžia, ar tapatybė apskritai gali sukurti tunelį: RADIUS politika, grupės sąlyga, sertifikato patikra, Access Server leidimas. Tada maršrutizavimas ir užkardos nusprendžia, ar paketas iš tunelio telkinio pasiekia paskirties TCP 3389 klausytoją. Tada kliento NLA rankos paspaudimas autentifikuoja paskyrą paskirties atžvilgiu. Tik po šių trijų vietinė saugumo institucija patikrina, ar paskyra turi prisijungimo teisę, kurios reikalauja interaktyvi nuotolinė sesija.

Kadangi tvarka fiksuota, kiekvieni vartai slepia už jų esančius. Nepavykęs tunelis nieko nesako apie maršrutizavimą; užblokuotas prievadas nieko nesako apie prisijungimo teisę; sėkmingas prievado testas nieko nesako apie priėmimą. Todėl „VPN veikia, bet RDP ne“ yra ne viena problema, o riba tarp dviejų iš šių vartų, ir todėl klaidos tekstas yra greičiausias būdas sužinoti, į kuriuos pataikėte.

Teisė, kuri iš tikrųjų atmeta sesiją

Prisijungimui prie nuotolinio darbalaukio reikia naudotojo teisės Leisti prisijungti per nuotolinio darbalaukio paslaugas, SeRemoteInteractiveLogonRight. Ji tikrinama prisijungiant, o ne kuriant tunelį, todėl paskyra gali valandų valandas naršyti tinkle ir vis tiek jai bus atsisakyta darbalaukio. Dialogas, kuriame ji rodoma, yra Vietinės politikos, Naudotojo teisių priskyrimas, o domeno atitikmuo yra GPO.

Numatytoji narystė priklauso nuo kompiuterio vaidmens: darbo stotys ir nario serveriai suteikia ją Administrators ir Remote Desktop Users, o domeno valdiklis – tik Administrators. Šis vienas faktas paaiškina didžiąją dalį painiavos, nes ta pati paskyra pavyksta failų serveryje ir nepavyksta DC. Atmetimo teisė nugali atitinkamą leidimo teisę nepriklausomai nuo grupės narystės, todėl paskyra, kuriai ir leidžiama, ir draudžiama, atmetama. Plati atmetimo grupė gali pagauti administratorių, pridėtą iš paslaugumo.

Skaitykite galiojančią politiką, o ne vietinį dialogą

Vietinę politiką perrašo bet kuri domeno GPO, apibrėžianti tą pačią teisę, todėl vietinis snap-in gali rodyti teisingai atrodantį sąrašą, nors faktinė būsena kitokia. Eksportuokite, ką kompiuteris iš tikrųjų taiko, tada suraskite teisę ir skaitykite SID, o ne rodomus pavadinimus:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Šioje išvestyje *S-1-5-32-544 yra Administrators, o *S-1-5-32-555 yra Remote Desktop Users.

Jei nepasirodo nė vienas, niekas, išskyrus politikos turėtoją, negali atidaryti darbalaukio, kad ir ką siūlytų vietinis naudotojų ir grupių dialogas. Tada gpresult įvardija laimėjusią GPO, ir tai yra objektas, kurį turite redaguoti; vietinės politikos keitimas domene esančiame kompiuteryje yra testas, o ne pataisymas.

Suteikite siauriausią tinkamą teisę

Įprastas atsakymas yra paskirties grupė Remote Desktop Users. Ji numatytai turi teisę, yra daug mažesnė nei Administrators ir atskiria „gali atidaryti darbalaukį“ nuo „gali valdyti serverį“. Kai politika teisę aiškiai perskirstė, pridėkite grupę arba paskyrą prie tos politikos, o ne pridėkite grupę, kurios niekas neketino naudoti kaip prieigos kontrolės.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Prieš ką nors pridėdami patikrinkite atmetimų sąrašą. Jei atmetimo teisė įvardija grupę, kurioje yra naudotojas, teisingas pakeitimas yra pašalinti paskyrą iš tos grupės arba susiaurinti atmetimą, o ne pridėti antrą leidimą kitur. Užsirašykite, kurią teisę ir kur pakeitėte, nes vėlesnis GPO atnaujinimas tyliai atkurs ankstesnę būseną, ir bilietas vėl atsidarys su ta pačia žinute.

Laikykite tinklo kelią atskiru sprendimu

VPN grupė neturi pasiekti kiekvieno prievado. Kai grupei reikia programos, o ne darbalaukio, užkardos taisyklė, apribota tunelio telkiniu ir programos prievadu, suteikia tai politikai galios, o prisijungimo teisė lieka nepaliesta.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN savoji kiekvieno kliento konfigūracija ir Access Server grupės leidimai gali toliau ta pačia dvasia apriboti paskirties priešdėlius; nė vienas jų nesuteikia Windows prisijungimo teisės, o prisijungimo teisė negali atidaryti prievado. Laikykite juos atskiruose pakeitimų languose, nes prievado taisyklę ir teisę tvirtina skirtingi žmonės.

Tikrinkite ta pačia tvarka, kokia galioja vartai: ar paskyra gali sukurti tunelį, ar sesija pasiekia klausytoją, ar klientas autentifikuojasi ir ar paskyra turi teisę. Ping, kuris nepavyksta, kai prievado testas pavyksta, yra užkarda, kitaip atsakanti į ICMP, o ne įrodymas, kad RDP užblokuotas. Microsoft prisijungimo teisės nuoroda išvardija numatytąsias reikšmes pagal kompiuterio vaidmenį ir taisyklę, kad atmetimas nugali leidimą.