RDP зөвшөөрлийн дүрэм нэмэх нь таны VPN хандалтыг нарийсгахгүй

Төлөвлөгөө боломжийн сонсогдож байна: одоо байгаа Алсын ажлын ширээний зөвшөөрлийг хэвээр үлдээж, хандалттай байх ёстой цорын ганц VPN клиентэд жижиг зөвшөөрөл нэмээрэй. Windows Firewall тиймэрхүү ажиллахгүй. Дүрмүүд нь хамгийн нарийн бичлэг ялдаг эрэмбэлсэн жагсаалт биш бөгөөд өргөн зөвшөөрлийн хажууд нарийн зөвшөөрөл нэмэх нь юу ч өөрчлөхгүй, учир нь өргөн нь өмнө нь оруулж байсан бүх хүнийг одоо ч оруулсаар байна. Үйлчилгээг нарийсгах гэдэг нь ажлаа хийж байгаа зөвшөөрлийг өөрөө засварлахыг хэлнэ.

Таны нэмж буй дүрэм бол чухал дүрэм биш

Windows Firewall нь машинд хамаарах бодлогын сангууд дахь бүх хамааралтай оролтын дүрмийг үнэлж, дараа нь ямар нэг зөвшөөрөл таарч байгаа эсэх, ямар нэг хориглох дүрэм түүнийг давж байгаа эсэхийг шийднэ. Дүрэм нэмэх нь зөвшөөрөл нэмнэ; энэ нь аль хэдийн байгаа зөвшөөрлүүдийг устгахгүй, тодруулахгүй.

Тиймээс асуулт хэзээ ч "та юу нэмсэн" гэсэн үг биш. Асуулт бол локал бодлого, домэйны бодлого, профайлын өгөгдмөл утгууд нэгдсэний дараа үр дүнтэй бодлого юу агуулж байгаа вэ гэсэн үг. Нэг локал дүрэмтэй ажлын станцыг бодох хялбар; домэйд холбогдсон серверийг бодох хэцүү.

Тиймээс администратор зөв харагдах өөрчлөлт хийж, буруу машинаас туршиж, ажилласан гэж дүгнэж болно. Хасагдсан эх сурвалж хэзээ ч туршигдаагүй. Зөвхөн амжилтыг нотолсон туршилт нь өөрчлөлтийн зорилгын талаас багаруу нотолно.

Сервер ямар хаягийг хардагийг олж мэдээрэй

Ямар нэг зүйлийг хязгаарлахаас өмнө Windows хост дээр нэг зөвшөөрөгдсөн сессийг ажиглаж, серверийн мэдээлдэг эх хаягийг тэмдэглээрэй. Энэ нь клиент өөртөө байгаа гэж боддог хаяг байх албагүй.

Хэрэв VPN гарц клиентийн хаягийг хадгалдаг бол сервер клиентийн туннелийн хаягийг хардаг бөгөөд хаягаар хязгаарласан дүрэм утга учиртай. Хэрэв гарц хөрвүүлдэг бол клиент бүр гарцын хаягаар ирдэг бөгөөд тэр хаягаар хязгаарлах нь түүний ард байгаа клиент бүрт хандалт өгнө. Тэгвэл дүрэм нь буруу зүйлийн тухайд нарийн.

Энэ хоёр загварт өөр өөр хариулт хэрэгтэй. Эхнийхийг галт ханын дүрэмд илэрхийлж болно; хоёр дахь нь таних тэмдэг одоо ч байгаа газар, өөрөөр хэлбэл VPN-ийн өөрт нь эсвэл үйлчилгээний өмнөх баталгаажсан гарцад хэрэгжүүлэх ёстой.

Галт ханын шүүлтүүр нь сүлжээний хөрвүүлэлт хаясан таних тэмдгийг буцааж авч чадахгүй, хаяг хэчнээн болгоомжтой бичигдсэн ч.

Үр дүнтэй дүрмийн эзэмшигчийг соль

Үр дүнтэй оролтын бодлогыг шалгаж, одоо RDP урсгалыг зөвшөөрч буй бүх дүрмийг ол, үүнд харуулах нэр нь 3389 портыг хэзээ ч дурдаагүй дүрмүүд ч багтана. Үйлчилгээ болон програмаар хязгаарласан дүрмүүд ч тооцогдоно, зарим RDP байршуулалт идэвхжүүлдэг UDP тээвэр ч мөн адил.

Дараа нь одоо байгаа дүрмүүдийг тэдгээрийг эзэмшдэг сангаар дамжуулан засварла. Домэйны бодлого мөн тодорхойлдог дүрэмд локал засвар хийх нь нэгтгэгдэх, үл тоомсорлогдох эсвэл дарж бичигдэх боломжтой бөгөөд түүнд найдахын өмнө алинд нь тохиолдохыг мэдэх нь зүйтэй.

Эдгээр командууд идэвхтэй дүрмүүдийг олж, тэдгээрийн нэгэнд хавсаргасан хаягийн шүүлтүүрийг харуулж, хамрах хүрээний өөрчлөлтийг урьдчилан харна:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Энд дүрмийн нэрнүүд хяналт олсон зүйлийн орлуулагч бөгөөд урьдчилан харах туг нь хаяг дахь бичгийн алдаа таныг засварлаж буй серверээс түгжихгүйн тулд байдаг.

Эхлээд хориглоод дараа нь зөвшөөрөх нь өөр загвар

Бусад галт ханын дадал бол өргөн хориглох дүрэм бичээд түүний дээр нарийн зөвшөөрөл тавих юм. Windows дээр тодорхой хориглолт ерөнхийдөө зөвшөөрлөөс илүү гардаг тул энэ дараалал нь нэг клиентэд зориулсан үл хамаарах зүйл биш, хэн ч хүрч чадахгүй үйлчилгээг үүсгэдэг. Үр дүн нь эвдэрсэн RDP үйлчилгээ мэт харагдах тасалдал юм. Энэ нь үнэндээ тэргүүлэх чиглэлийн алдаа бөгөөд засвар нь өөр зөвшөөрөл нэмэх биш, хориглолтыг арилгах явдал юм.

Идэвхтэй профайлууд дээр өгөгдмөл оролтын хориглолтын зан төлөвийг хадгалж, оронд нь тодорхой зөвшөөрлүүдийг нарийсгаарай. Энэ нь машиныг харилцан зөрчилдөх хоёр дүрмийн оронд ойлгомжтой нэг байдалд үлдээдэг бөгөөд тэдгээрийн харилцан үйлчлэл нь тэргүүлэх чиглэлийн нарийн ширийнээс хамаардаг.

Үүнийг хоёр дахь эх сурвалжаар батлаарай

Зөвшөөрөгдсөн клиентээс болон одоо бүтэлгүйтэх ёстой эх сурвалжаас туршаарай. Нэг амжилттай холболт нь зөвшөөрөгдсөн зам ажиллаж байгааг л нотолно; энэ нь дөнгөж хийсэн үл хамааруулалтын тухай юу ч хэлэхгүй.

Сервер дээр идэвхжсэн бол туршилтыг IPv6-оор давтаарай, учир нь зөвхөн IPv4-д зориулсан санаа нь хэн ч хараагүй өргөн IPv6 зөвшөөрөлтэй зэрэгцэн оршиж болно.

Эцэст нь, баталгаажуулалтыг хүртээмжээс тусгаарла. Сүлжээний түвшний баталгаажуулалт, бүртгэлийн эрх, нэвтрэх хязгаарлалт нь хэн сессийг ашиглаж болохыг одоо ч шийддэг бөгөөд галт хана нь зөвхөн хэн асууж болохыг шийддэг. Дараа нь төхөөрөмжийг устгах нь түүний VPN бүртгэл болон энэ сүлжээний зөвшөөрлийг хоёуланг нь устгах ёстой, эс тэгвээс таны хязгаарласан хаяг хэзээ нэгэн цагт өөр хэн нэгнийх болно.