Menambah peraturan kebenaran RDP tidak menyempitkan akses VPN anda

Pelan itu kedengaran munasabah: biarkan kebenaran Desktop Jauh sedia ada seperti adanya dan tambah satu yang kecil untuk satu-satunya klien VPN yang sepatutnya mempunyai akses. Windows Firewall tidak berfungsi begitu. Peraturan bukan senarai tersusun di mana entri paling spesifik menang, dan kebenaran sempit di sebelah kebenaran luas tidak mengubah apa-apa, kerana yang luas masih menerima semua yang sudah diterimanya. Menyempitkan perkhidmatan bermakna menyunting kebenaran yang sudah melakukan kerja itu.

Peraturan yang anda tambah bukan peraturan yang penting

Windows Firewall menilai semua peraturan masuk yang berkenaan dalam stor dasar yang terpakai pada mesin, kemudian memutuskan sama ada mana-mana kebenaran sepadan dan sama ada mana-mana sekatan mengatasinya. Menambah peraturan menambah kebenaran; ia tidak membuang atau mengecilkan kebenaran yang sudah ada.

Jadi persoalannya tidak pernah apa yang anda tambah. Persoalannya ialah apa yang terkandung dalam dasar berkesan selepas dasar setempat, dasar domain dan nilai lalai profil digabungkan. Stesen kerja dengan satu peraturan setempat mudah difikirkan; pelayan yang menyertai domain tidak.

Itulah sebabnya pentadbir boleh membuat perubahan yang kelihatan betul, mengujinya dari mesin yang salah dan membuat kesimpulan ia berkesan. Sumber yang dikecualikan tidak pernah diuji. Ujian yang hanya membuktikan kejayaan membuktikan kurang daripada separuh tujuan perubahan itu.

Ketahui alamat mana yang dilihat pelayan

Sebelum mengehadkan apa-apa, perhatikan satu sesi yang dibenarkan pada hos Windows dan catat alamat sumber yang dilaporkan pelayan. Ia bukan selalu alamat yang disangka klien ada padanya.

Jika get laluan VPN mengekalkan alamat klien, pelayan melihat alamat terowong klien, dan peraturan berhad alamat menjadi bermakna. Jika get laluan menterjemah, setiap klien tiba sebagai alamat get laluan, dan penghad kepada alamat itu memberi akses kepada setiap klien di belakangnya. Maka peraturan itu tepat tentang perkara yang salah.

Kedua-dua reka bentuk itu memerlukan jawapan berbeza. Yang pertama boleh dinyatakan dalam peraturan firewall; yang kedua mesti dikuatkuasakan di tempat identiti masih wujud, iaitu dalam VPN itu sendiri atau dalam get laluan yang disahkan di hadapan perkhidmatan.

Penapis firewall tidak boleh mendapatkan semula identiti yang dibuang oleh terjemahan rangkaian, seberapa teliti pun alamat itu ditaip.

Tukar pemilik peraturan berkesan

Periksa dasar masuk berkesan dan cari setiap peraturan yang kini membenarkan trafik RDP, termasuk peraturan yang nama paparannya tidak pernah menyebut port 3389. Peraturan berhad perkhidmatan dan berhad aplikasi juga dikira, begitu juga pengangkutan UDP yang didayakan oleh sesetengah penggunaan RDP.

Kemudian sunting peraturan sedia ada melalui stor yang memilikinya. Suntingan setempat pada peraturan yang juga ditakrifkan oleh dasar domain boleh digabungkan, diabaikan atau ditimpa, dan wajar mengetahui yang mana berlaku sebelum anda bergantung padanya.

Arahan ini mencari peraturan aktif, menunjukkan penapis alamat yang dilampirkan pada salah satunya dan mempratonton perubahan skop:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Nama peraturan di sini ialah pemegang tempat bagi apa yang ditemui oleh semakan, dan bendera pratonton wujud supaya kesilapan menaip dalam alamat tidak mengunci anda di luar pelayan yang anda sunting.

Sekat dahulu kemudian benarkan ialah model yang berbeza

Kebiasaan daripada firewall lain ialah menulis sekatan luas dan kemudian kebenaran sempit di atasnya. Dalam Windows sekatan eksplisit biasanya mengalahkan kebenaran, jadi urutan itu menghasilkan perkhidmatan yang tiada siapa dapat capai dan bukannya pengecualian untuk satu klien. Hasilnya ialah gangguan yang kelihatan seperti perkhidmatan RDP yang rosak. Ia sebenarnya kesilapan keutamaan, dan pembetulannya ialah membuang sekatan itu dan bukannya menambah kebenaran lain.

Kekalkan tingkah laku sekatan masuk lalai pada profil aktif dan sebaliknya sempitkan kebenaran khusus. Itu meninggalkan mesin dengan satu pendirian yang boleh difahami dan bukannya dua peraturan bercanggah yang interaksinya bergantung pada butiran keutamaan.

Buktikan dengan sumber kedua

Uji dari klien yang dibenarkan dan dari sumber yang sepatutnya gagal sekarang. Satu sambungan yang berjaya hanya membuktikan laluan yang dibenarkan berfungsi; ia tidak berkata apa-apa tentang pengecualian yang baru anda buat.

Ulangi ujian melalui IPv6 jika pelayan mengaktifkannya, kerana niat khusus IPv4 boleh wujud bersama kebenaran IPv6 luas yang tiada siapa melihat.

Akhir sekali, asingkan pengesahan daripada kebolehcapaian. Pengesahan Tahap Rangkaian, hak akaun dan sekatan log masuk masih menentukan siapa yang boleh menggunakan sesi, dan firewall hanya menentukan siapa yang boleh bertanya. Membuang peranti kemudian harus membuang kedua-dua pendaftaran VPNnya dan kebenaran rangkaian ini, jika tidak alamat yang anda hadkan akan menjadi milik orang lain suatu hari nanti.