VPN-ээр дамжуулан алсын ширээний компьютер: ямар алдаанд байна вэ?

Таны туннель ажиллаж, дотоод вики ачаалагдаж байгаа ч алсын ширээний компьютер холбогдохоос татгалсаар байна. Энэ хослол хэвийн, учир нь VPN хост руу маршрут өгдөг бол ширээний үйлчилгээ сонсох, өөрийн Firewall-аар зөвшөөрөгдөх, бүртгэлийг баталгаажуулахад бэлэн байх ёстой. Ажиллаж буй туннель ба ашиглах боломжтой сессийн хооронд дөрвөн алдааны үе шат байх бөгөөд тус бүр өөр мессежээр бүтэлгүйтдэг. Эхлээд мессежийг уншина уу, учир нь энэ нь үе шатыг нэрлэдэг.

Нэг мэт харагдах дөрвөн алдаа

Үе шатууд дараалсан: нэр нь дизайны зорьсон хувийн хаяг руу шийдэгдэнэ, порт TCP гар барилтад хариулна, хост өөрийн бодлогын дагуу холболтыг хүлээн авна, сессийн нэвтрэлт амжилттай болно. Үе шат бүр дараагийнхыг шалгах боломжгүй болгодог тул сүлжээг цэгцлэхээс өмнө RDP тохиргоог өөрчлөх нь зөвхөн чимээ үүсгэдэг. Дөрвөн тохиолдолд хэрэглэгчийн талаас шинж тэмдэг ижил харагдана. Тэдгээрийг зөвхөн клиентийн мессеж ялгадаг.

Ажиллаж буй дотоод вэб сайт дөрвийн алийг ч батлахгүй. Энэ нь нэг сүлжээний хост өөр порт дээр өөр үйлчилгээгээр хариулсныг л батална. Үүнийг чиглүүлэлтийн талаарх нотолгоо гэж үзээд өөр юу ч биш.

Дарааллаар нь шалгаад үр дүнг бичээрэй. Порт хариулсан гэж нэвтрэх дэлгэц рүү үсрэх нь эхний алхам аль хэдийн илрүүлсэн Firewall асуудалд хагас өдрийг үрэх арга юм.

3389 порт дээр ямар нэгэн зүйл сонсож байна уу?

Нэрээр эхэл, учир нь буруу хаяг руу шийдэгдсэн нэр дараагийн бүх шалгалтыг хүчингүй болгоно. Туннелийн шийдэгчээс нэрийн утгыг асуугаад, дараа нь хариултыг амжилттай хариу биш, дизайны зорьсон хувийн хаягтай харьцуул. Нийтийн хаяг руу шийдэгдсэн нэр бол бүх асуудал бөгөөд ямар ч RDP өөрчлөлт үүнийг засахгүй:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Дараа нь хост биш, портыг шалга. 3389 дээр дууссан TCP гар барилт нь хүртээмжийг түүнээс дээш байгаа бүхнээс тусгаарлана:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Энэ шалгалтыг LAN болон туннелээс хий, учир нь хоёр үр дүнгийн ялгаа нь алдааг VPN замаар тодорхойлно. Замд хоёр Firewall байх бөгөөд тэдгээрийг андуурахад амархан: сүлжээ нь клиентийн туннелийн хаягийг хост руу хүрэхийг зөвшөөрөх ёстой, харин хост өөрийн Firewall нь ижил эх сурвалжийг сонсож буй порт дээр зөвшөөрөх ёстой. LAN дэд сүлжээнд хязгаарлагдсан дүрэм VPN клиентийн санг хамардаггүй бөгөөд энэ нь зөвхөн алсын хэрэглэгчид мэдээлдэг цаг хэтрэлтийн хамгийн түгээмэл шалтгаан юм. Дүрмийн оршихуйг бус хамрах хүрээг шалга.

Буцах зам ч мөн адил шалгалтыг хүртэх ёстой. Хариултуудад клиентийн сан руу буцах маршрут хэрэгтэй, LAN руу биш, харин хостны өмнөх орчуулга таны лог харуулах эх сурвалжийг өөрчилдөг. Хэрэв порт нэг чиглэлд хариулж, нөгөөд нь хариулахгүй бол дутуу хагас нь ихэвчлэн буцах зам байдаг.

Тохиргоог уншихаас өмнө мессежийг унш

Гурав дахь үе шат бол хост өөрийн бодлогоор холболтыг татгалзах бөгөөд энэ нь ихэвчлэн тэр даруй нээгдэж хаагдах порт мэт харагдана. Ямар нэгэн зүйл хариулсан бөгөөд энэ нь чимээгүй байснаас илүү ашигтай мэдээлэл юм. Хэрэв гар барилт дууссан бөгөөд сесс тэр даруй үхсэн бол сүлжээ хэвийн бөгөөд хост шийднэ. Сүлжээнд дахин хүрэхээс өмнө алсын ширээний зөвшөөрлийг хар.

Функц нь машинд идэвхжсэн байж болох ч хандалт тодорхой бүлгүүдэд хязгаарлагдсан, мөн сонсогч нь таны ирсэн хаягийг хасаж холбогдсон байж болно. Сүлжээний түвшний баталгаажуулалт нь ширээ ачаалагдахын өмнө бүтэлгүйтдэг хаалга нэмдэг бөгөөд түүний алдааны текст буруу нууц үгээс ялгаатай. Клиентийн мессежийг хостны үйл явдлын логтой харьцуул, учир нь мессеж хаалгыг, лог нь бүртгэлийг нэрлэдэг.

Сессийн нэвтрэлт өөрийн гэсэн хил юм

Баталгаажуулалт нь VPN-д биш, ширээний үйлчилгээнд хамаарна. Туннелийн таних тэмдэг болон ширээний бүртгэл нь тусдаа түгжээний бодлоготой тусдаа мэдээлэл, тиймээс ажиллаж буй туннель нь туннель таныг хүлээн авсныг л батална. Ширээний бүртгэлийг түгжих нь туннельд саад болохгүй, эсрэгээр нь ч мөн адил.

Хоёулыг нь бүрэн бүтэн байлга. Хувийн маршрут байхгүй бол маршрутыг засаж, учир нь сонсогчийг интернетэд нийтлэх нь хүртээмжийн алдааг нээлттэй ширээгээр сольдог. Мөн зэрэг гарсан сертификатын анхааруулгыг давахын тулд сессийн таних шалгалтыг сулруулж болохгүй. RDP сонсогч дээрх өөрөө гарын үсэг зурсан сертификат нь дизайнаараа анхааруулга өгдөг тул үүнийг хүлээн авах нь алхам бус шийдвэр юм.

Дахин оролдохын өмнө оролдлогыг тоол. Ширээний түгжээний босго нь бүтэлгүй нэвтрэлтийг VPN-ийн алдаанаас тусдаа тоолдог бөгөөд таймераар дахин оролддог клиент нь та дүрмийг засаж байх үед босгыг давж болно. Энэ нь нууц үг сольсны дараа бүртгэлийг түгждэг ижил зэрэгцээ дахин оролдлогын механизм юм.

Сесс юу зөөж болох, хаана үлдэх

Хэрэгтэй болохоос өмнө батлагдсан гарах урсгалыг сур. Цонхыг хаах нь зөвхөн харагдацыг салгаж болох бөгөөд сесс нь тохируулсан бодлогоороо үргэлжлүүлэн ажиллана, энэ нь хуваалцсан эсвэл аудит хийсэн хост дээр чухал. Бодлого хүлээж байгаа үед сессийн дотроос гар.

Дараа нь сесс юу зөөж болохыг шийд, учир нь санах ойн самбар, дахин чиглүүлсэн диск, принтерийн дахин чиглүүлэлт, файл дамжуулалт нь бодлого зөвшөөрсөн газарт локал болон алсын системүүдийн хооронд өгөгдөл зөөдөг. Нөгөө талд ажиллаж буй нийтэлсэн програм нь автоматаар татахаас сэргийлсэн хил биш бөгөөд зөвхөн уншигдах мэт харагдах сесс ч санах ойн самбар зөөж чадна. Холболтыг бус бодит даалгаврыг шалга: файлыг нээ, програмыг ашигла, хэрэгтэй дахин чиглүүлэлтээ батал. Гаднаас алсын ширээнд хүрэх тухай Microsoft-ын заавар нь дэмжигдсэн илрүүлэх сонголтуудыг тайлбарладаг бөгөөд дарамт дор нэмсэн нийтийн сонсогчоос илүү сайн лавлагаа юм.