RDP го менува клиентот: зошто базата на податоци гледа друг хост

Вашето правило за VPN ја одбива базата и тикетот се затвора како дефект на огнениот ѕид, додека истиот корисник отвора објавен работен простор и ја прашува таа база без проблем. Двата исказа се вистинити. Работниот простор е друг клиент, со своја адреса во сегмент на кој правилата веќе му веруваат, и со свој идентитет кога се поврзува понатаму. Она што изгледа како противречно правило обично е второ барање што никој не го ставил во прегледот.

Второто барање има своја клиентска адреса

Кога апликацијата во сесијата отвора врска со базата, TCP ракувањето започнува на хостот на сесијата. Неговата изворна адреса припаѓа на мрежата на тој хост, па секој рутер и огнен ѕид на базата по патот го оценува сегментот на работниот простор, а не базенот на тунели од кој дојде вашиот преносен сметач. Адресата на VPN никогаш не се појавува во тој тек. Затоа правило за одбивање врз основа на извор може истовремено да биде точно и неважно.

Прочитајте го изворот од внатрешноста на сесијата, а не од преносниот сметач, потоа проверете го понатамошниот пат од истото место. Двата одговора треба да се согласат за тоа кој хост го испраќа барањето.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Споредете што известува сесијата со адресата што базата ја запишала за истиот момент. Кога дневникот на серверот ја покажува подмрежата на работниот простор наместо базенот на тунели, прашањето престанува да биде дали правилото се активирало и станува кој хост го направил барањето. Тоа е друга истрага со друг сопственик.

Идентитетот се менува заедно со адресирањето

Понатамошната врска обично се автентицира како токен на сесијата, зачувани податоци за најава или сервисна сметка на апликацијата, и ресурсот го запишува тоа што му е дадено. Затоа аудиторска трага што покажува сервисна сметка на базата не докажува дека барањето го извршил човек. Таа не го идентификува ниту тој човек. Само дневникот на сесијата на работниот простор ги поврзува тие два записа.

Авторизацијата се случува двапати, а втората одлука се носи со други влезови. Првата му дава најава на работен простор на именуван корисник, а втората го дава она што токенот на тој корисник или сметката на апликацијата можат да го направат со ресурсот. Група за поддршка што смее да отвори работен простор не е автоматски група што смее да чита табела на клиенти.

Погледнете го токенот и патот на делегирање пред да ја напишете белешката за пристап. Двете се видливи од внатрешноста на сесијата, и тоа е единственото место каде одговорот не е претпоставка.

whoami /groups
klist
query session

Ако апликацијата користи сервисна сметка, нејзините права се тие што се важни понатаму. Менувањето на тие податоци за најава припаѓа на прегледот на пристап, а не на подоцнежна оперативна мисла.

Зошто директниот пат се уште е блокиран, и тоа правилно

Правилото за одбивање не е погрешно само затоа што целта е достапна на друг начин. Сегментацијата се оценува по извор, а работниот простор стои на сегмент што бил дозволен многу пред некој да го замисли како пат до базата. Ништо не ја заобиколи политиката. Политиката едноставно опишува два различни извора со два различни исхода.

Прегледот треба да одговори што може да започне секоја авторизирана сесија на тој хост. Прелистувачи со зачувани сесии, поврзани дискови, агенти што чуваат податоци за најава и локално слушани услуги сите го прошируваат досегот на работниот простор, и ниту едно од нив не се појавува во тикетот што ја дал најавата. Тој список е вистинската површина на дозволи.

Набројте го од внатрешноста на тест-сесија, а не од табела. Неколку наредби ја покриваат поголемата површина.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Изберете ја границата свесно

Три форми одговараат на различни задачи, и изборот треба да ја следи задачата, а не алатката што случајно постои. Објавената апликација изложува една програма со свои дозволи, целосниот работен простор изложува се што може профилот на корисникот, а тесната сметка на базата со ограничување на изворот изложува еден ресурс сосема без работен простор. Најтесната форма што се уште ја завршува работата е онаа што треба да се документира. Се пошироко бара причина напишана до него.

За еден извештај, објавената апликација или ограничената сметка е помала дозвола од општ работен простор. За одржување што навистина бара неколку алатки, работниот простор може да биде точен, но тогаш одобрувањето го опишува целиот хост, а не една апликација. Прашајте го сопственикот на ресурсот на кое од тие се согласува.

Движењето на податоци е посебен прекинувач. Таблата со исечоци, пренасочувањето на дискови и преземањата можат да ги однесат податоците на компанијата до клиентот, а извршувањето на апликација од далечина само по себе не ги држи податоците на далечина.

Проверете ги двете одобрувања и патот за отстранување

Во записот припаѓаат две одобрувања: правото да се стигне и отвори работниот простор, и правото да се користат ресурси од неговата внатрешност. Именувајте сопственик за секое и држете го второто видливо за секој што го прегледува ресурсот. Токму за вториот запис ќе праша ревизор, зашто тој го опишува досегот, а не влезот. Напишете ги двете пред промената да биде одобрена, а не по првиот инцидент.

Потоа проверете го отстранувањето, зашто исклучена сесија може да го надживее својот причина. Табелата на сесии е најбрзото место за да се види што се уште работи.

query session
query user
qwinsta /server:rdsh01.corp.internal

Исклучувањето на клиентот ја остава далечинската сесија активна, и нејзините мрежни врски и кешираните податоци за најава можат да останат употребливи додека таа сесија не заврши. Одјавете се или јасно завршете ја сесијата и потврдете дека бројачот подолу престанува да напредува потоа. Тест за отстранување што само го затвора капакот на преносниот сметач не докажува ништо. Направете го истиот тест еднаш со исклучена сметка и еднаш со отстранета дозвола за работниот простор, потоа запишете што регистрирал ресурсот во секој случај.