VPN piekļuve bez attālinātās darbvirsmas tiesībām: četri atsevišķi vārti

Lietotājs pieslēdzas VPN, atver failu koplietojumu un iekšēju lietotni, un tad RDP mēģinājums atgriež „lietotāja kontam nav atļaujas attālinātai pieteikšanās“. Šajā ziņojumā par tuneli nekas nav nepareizi. Starp VPN kontu un interaktīvu darbvirsmu atrodas četri neatkarīgi vārti, un to radīja tikai pēdējie. Cilvēki parasti reaģē, pievienojot kontu grupa Administrators, kas piešķir daudz vairāk nekā darbvirsmu un neizlabo vārtus, ja grupas politika to aizliedz. Lūk, ko katri vārti patiešām dara un kā mainīt tikai tos, kas atsaka.

Četri vārti fiksētā secībā

Vārti vispirms izlemj, vai identitāte vispār drīkst izveidot tuneli: RADIUS politika, grupas nosacījums, sertifikāta pārbaude, Access Server atļauja. Pēc tam maršrutēšana un ugunsmūri izlemj, vai pakete no tuneļa baseina sasniedz galamērķa TCP 3389 klausītāju. Pēc tam klienta NLA rokasspiediens autentificē kontu pret galamērķi. Tikai pēc šiem trim vietējā drošības iestāde pārbauda, vai kontam ir pieteikšanās tiesības, ko prasa interaktīva attālināta sesija.

Tā kā secība ir fiksēta, katri vārti slēpj aiz tiem esošos. Neveiksmīgs tunelis neko nepasaka par maršrutēšanu; bloķēts ports neko nepasaka par pieteikšanās tiesībām; veiksmīgs porta tests neko nepasaka par uzņemšanu. Tāpēc „VPN darbojas, bet RDP ne“ nav viena problēma, bet robeža starp diviem no šiem vārtiem, un tāpēc kļūdas teksts ir ātrākais veids, kā uzzināt, kuros esat iekļuvis.

Tiesības, kas patiešām atsaka sesiju

Pieteikšanās attālinātajai darbvirsmai prasa lietotāja tiesības Atļaut pieteikšanos, izmantojot attālinātās darbvirsmas pakalpojumus, SeRemoteInteractiveLogonRight. Tās tiek pārbaudītas pieteikšanās laikā, nevis tuneļa izveides laikā, tāpēc konts var stundām klejot pa tīklu un tomēr saņemt atteikumu darbvirsmai. Dialogs, kas to parāda, atrodas sadaļā Vietējās politikas, Lietotāja tiesību piešķiršana, un domēna ekvivalents ir GPO.

Noklusējuma dalība ir atkarīga no datora lomas: darbstacijas un dalībnieku serveri to piešķir Administrators un Remote Desktop Users, bet domēna kontrolieris tikai Administrators. Šis viens fakts izskaidro lielāko daļu neskaidrības, jo viens un tas pats konts gūst panākumus failu serverī un cieš neveiksmi DC. Aizlieguma tiesības pārspēj atbilstošās atļaujas tiesības neatkarīgi no grupas dalības, tāpēc konts, kuram ir gan atļauts, gan aizliegts, tiek noraidīts. Plaša aizlieguma grupa var notvert administratoru, kas pievienots labvēlības dēļ.

Izlasiet spēkā esošo politiku, nevis vietējo dialogu

Vietējo politiku pārraksta jebkura domēna GPO, kas definē tās pašas tiesības, tāpēc vietējais snap-in var parādīt pareizu sarakstu, kamēr faktiskais stāvoklis ir citāds. Eksportējiet, ko dators faktiski piemēro, pēc tam atrodiet tiesības un lasiet SID, nevis parādāmos nosaukumus:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Šajā izvadē *S-1-5-32-544 ir Administrators, bet *S-1-5-32-555 ir Remote Desktop Users.

Ja neparādās neviens, neviens, izņemot politikas īpašnieku, nevar atvērt darbvirsmu, lai ko arī ieteiktu vietējais lietotāju un grupu dialogs. Tad gpresult nosauc uzvarējušo GPO, un tas ir objekts, kas jums jārediģē; vietējās politikas maiņa datorā, kas pievienots domēnam, ir tests, nevis labojums.

Piešķiriet šaurākās atbilstošās tiesības

Parastā atbilde ir galamērķa grupa Remote Desktop Users. Tā pēc noklusējuma nes tiesības, ir daudz mazāka par Administrators un atdala „drīkst atvērt darbvirsmu“ no „drīkst pārvaldīt serveri“. Kur politika ir skaidri pārdalījusi tiesības, pievienojiet grupu vai kontu šai politikai, nevis pievienojiet grupu, ko neviens nebija domājis kā piekļuves kontroli.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Pirms kaut ko pievienojat, pārbaudiet aizliegumu sarakstu. Ja aizlieguma tiesības nosauc grupu, kurā ir lietotājs, pareizā izmaiņa ir noņemt kontu no šīs grupas vai sašaurināt aizliegumu, nevis pievienot otru atļauju citur. Pierakstiet, kuras tiesības un kur mainījāt, jo vēlāka GPO atsvaidzināšana klusi atjaunos iepriekšējo stāvokli, un biļete atvērsies no jauna ar to pašu ziņojumu.

Turiet tīkla ceļu kā atsevišķu lēmumu

VPN grupai nav jāsasniedz katrs ports. Kad grupai vajag lietotni, nevis darbvirsmu, ugunsmūra noteikums, kas ierobežots ar tuneļa baseinu un lietotnes portu, piešķir šai politikai spēku, savukārt pieteikšanās tiesības paliek neskartas.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN paša konfigurācija katram klientam un Access Server grupu atļaujas var līdzīgā garā ierobežot galamērķa prefiksus; neviens no tiem nepiešķir Windows pieteikšanās tiesības, un pieteikšanās tiesības nevar atvērt portu. Turiet tos atsevišķos izmaiņu logos, jo porta noteikumu un tiesības apstiprina dažādi cilvēki.

Pārbaudiet tādā pašā secībā, kā darbojas vārti: vai konts var izveidot tuneli, vai sesija sasniedz klausītāju, vai klients autentificējas un vai kontam ir tiesības. Ping, kas cieš neveiksmi, kamēr porta tests izdodas, ir ugunsmūris, kas uz ICMP atbild citādi, nevis pierādījums, ka RDP ir bloķēts. Microsoft pieteikšanās tiesību uzziņa uzskaita noklusējumus atbilstoši datora lomai un noteikumu, ka aizliegums pārspēj atļauju.