Алсын ажлын ширээний эрхгүйгээр VPN-д нэвтрэх: дөрвөн тусдаа хаалга

Хэрэглэгч VPN-д холбогдож, файл хуваалцах болон дотоод програмыг нээгээд, дараа нь RDP оролдлого «хэрэглэгчийн бүртгэл алсаас нэвтрэх эрхгүй» гэж буцаана. Тэр мессежид туннелийн талаар буруу зүйл байхгүй. VPN бүртгэл ба интерактив ажлын ширээний хооронд дөрвөн бие даасан хаалга байх бөгөөд зөвхөн сүүлийнх нь үүнийг үүсгэсэн. Хүмүүс ихэвчлэн бүртгэлийг Administrators-д нэмдэг бөгөөд энэ нь ажлын ширээнээс хамаагүй илүү эрх өгдөг бөгөөд бүлгийн бодлого хоригловол хаалгыг засдаггүй. Хаалга бүр яг юу хийдэг, зөвхөн татгалзаж буй хаалгыг хэрхэн өөрчлөх талаар энд байна.

Дөрвөн хаалга тогтмол дарааллаар

Хаалга эхлээд таних тэмдэг туннель үүсгэж чадах эсэхийг шийднэ: RADIUS бодлого, бүлгийн нөхцөл, гэрчилгээний шалгалт, Access Server-ийн зөвшөөрөл. Дараа нь чиглүүлэлт ба firewall-ууд туннелийн сангаас ирсэн пакет очих газрын TCP 3389 сонсогчдод хүрэх эсэхийг шийднэ. Дараа нь клиентийн NLA гар барилт бүртгэлийг очих газрын өмнө баталгаажуулна. Эдгээр гурвын дараа л локал аюулгүй байдлын байгууллага интерактив алсын сесс шаарддаг нэвтрэх эрх бүртгэлд байгаа эсэхийг шалгана.

Дараалал тогтмол тул хаалга бүр ард байгаа хаалгуудыг нуудаг. Бүтэлгүй туннель чиглүүлэлтийн талаар юу ч хэлэхгүй; хаагдсан порт нэвтрэх эрхийн талаар юу ч хэлэхгүй; амжилттай портын шалгалт орох зөвшөөрлийн талаар юу ч хэлэхгүй. Тиймээс «VPN ажиллаж байна, гэхдээ RDP ажиллахгүй байна» нь нэг асуудал биш, эдгээр хаалгуудын хоёрын хоорондох хил хязгаар бөгөөд тиймээс алдааны текст аль хаалганд таарсныг мэдэх хамгийн хурдан арга юм.

Сессийг үнэхээр татгалздаг эрх

Алсын ажлын ширээнд нэвтрэхэд Алсын ажлын ширээний үйлчилгээгээр нэвтрэхийг зөвшөөрөх хэрэглэгчийн эрх, өөрөөр хэлбэл SeRemoteInteractiveLogonRight шаардлагатай. Энэ нь туннель үүсгэх үед биш, нэвтрэх үед шалгагддаг тул бүртгэл хэдэн цагийн турш сүлжээгээр тэнэж байгаад ч ажлын ширээнээс татгалзаж болно. Үүнийг харуулах диалог нь Локал бодлого, Хэрэглэгчийн эрхийн хуваарилалт хэсэгт, домэйны эквивалент нь GPO-д байна.

Өгөгдмөл гишүүнчлэл машины үүргээс хамаарна: ажлын станцууд болон гишүүн серверүүд үүнийг Administrators болон Remote Desktop Users-д өгдөг бол домэйны хянагч зөвхөн Administrators-д өгдөг. Энэ нэг баримт ихэнх будлианыг тайлбарладаг, учир нь ижил бүртгэл файлын сервер дээр амжилттай, харин DC дээр бүтэлгүйтдэг. Татгалзах эрх нь бүлгийн гишүүнчлэлээс үл хамааран харгалзах зөвшөөрлийн эрхийг дийлдэг тул зөвшөөрөл, татгалзал хоёулаа байгаа бүртгэл татгалзагдана. Өргөн татгалзах бүлэг нь сайхан сэтгэлээр нэмсэн администраторыг ч барьж чадна.

Хүчинтэй бодлогыг унш, локал диалог биш

Локал бодлогыг ижил эрхийг тодорхойлсон аливаа домэйны GPO дарж бичдэг тул локал snap-in зөв харагдах жагсаалтыг харуулж болох боловч бодит төлөв өөр байж болно. Машин үнэхээр юу хэрэглэж байгааг экспортолж, дараа нь эрхийг хайж, харуулсан нэрсийн оронд SID-үүдийг уншина уу:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Тэр гаралтад *S-1-5-32-544 нь Administrators, *S-1-5-32-555 нь Remote Desktop Users юм.

Хэрэв хоёулаа харагдахгүй бол локал хэрэглэгчид ба бүлгүүдийн диалог юу ч санал болгосон, бодлогын эзнээс бусад хэн ч ажлын ширээ нээж чадахгүй. Дараа нь gpresult ялсан GPO-г нэрлэх бөгөөд энэ нь таны засах ёстой объект юм; домэйнд холбогдсон машин дээр локал бодлогыг өөрчлөх нь туршилт, засвар биш.

Тохирох хамгийн нарийн эрхийг өг

Ердийн хариулт нь очих газрын Remote Desktop Users бүлэг юм. Энэ нь эрхийг өгөгдмөлөөр агуулдаг, Administrators-аас хамаагүй бага, «ажлын ширээ нээж болно» ба «серверийг удирдаж болно» хоёрыг тусгаарладаг. Бодлого эрхийг тодорхой дахин хуваарилсан газарт хэн ч хандалтын хяналт гэж бодоогүй бүлэг нэмэхийн оронд тэр бүлэг эсвэл бүртгэлийг тэр бодлогод нэмээрэй.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Ямар нэгэн зүйл нэмэхийн өмнө татгалзалын жагсаалтыг шалгаарай. Хэрэв татгалзах эрх хэрэглэгчийг агуулсан бүлгийг нэрлэвэл зөв өөрчлөлт нь бүртгэлийг тэр бүлгээс хасах эсвэл татгалзалыг нарийсгах бөгөөд өөр газар хоёр дахь зөвшөөрөл нэмэх биш. Аль эрхийг хаана өөрчилснөө тэмдэглээрэй, учир нь дараагийн GPO шинэчлэлт өмнөх төлөвийг чимээгүй сэргээж, тасалбар ижил мессежтэй дахин нээгдэнэ.

Сүлжээний замыг тусдаа шийдвэр болгон бари

VPN бүлэг бүх портод хүрэх шаардлагагүй. Бүлэгт ажлын ширээ биш програм хэрэгтэй үед туннелийн сан болон програмын портоор хязгаарлагдсан firewall дүрэм тэр бодлогыг хэрэгжүүлнэ, харин нэвтрэх эрх хөндөгдөхгүй үлдэнэ.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN-ийн өөрийн клиент тус бүрийн тохиргоо болон Access Server-ийн бүлгийн зөвшөөрлүүд очих газрын префиксүүдийг ижил сүнсээр хязгаарлаж болно; аль нь ч Windows-ын нэвтрэх эрх өгөхгүй бөгөөд нэвтрэх эрх порт нээж чадахгүй. Тэдгээрийг тусдаа өөрчлөлтийн цонхонд бариарай, учир нь портын дүрэм болон эрхийг өөр өөр хүмүүс зөвшөөрдөг.

Хаалгууд хэрэгжих ижил дарааллаар шалгаарай: бүртгэл туннель үүсгэж чадах уу, сесс сонсогчдод хүрэх үү, клиент баталгаажуулах уу, бүртгэлд эрх байгаа юу. Портын шалгалт амжилттай байхад бүтэлгүйтсэн ping нь ICMP-д өөрөөр хариулдаг firewall бөгөөд RDP хаагдсаны нотолгоо биш. Microsoft-ын нэвтрэх эрхийн лавлагаа машины үүргээр өгөгдмөлүүдийг болон татгалзал зөвшөөрлийг дийлдэг дүрмийг жагсаасан.