Akses VPN tanpa hak desktop jauh: empat pintu berasingan

Pengguna menyambung ke VPN, membuka perkongsian fail dan aplikasi dalaman, kemudian percubaan RDP mengembalikan «akaun pengguna tidak dibenarkan untuk log masuk jauh». Tiada apa-apa yang salah dengan terowong dalam mesej itu. Empat pintu bebas terletak antara akaun VPN dan desktop interaktif, dan hanya pintu terakhir menghasilkannya. Orang biasanya bertindak balas dengan menambah akaun ke Administrators, yang memberikan jauh lebih banyak daripada desktop dan tidak membaiki pintu jika Dasar Kumpulan menolaknya. Berikut ialah apa yang sebenarnya dilakukan setiap pintu, dan cara menukar hanya pintu yang menolak.

Empat pintu berada dalam susunan tetap

Gerbang pertama memutuskan sama ada identiti boleh membina terowong: dasar RADIUS, syarat kumpulan, pemeriksaan sijil, kebenaran Access Server. Kemudian penghalaan dan firewall memutuskan sama ada paket dari kolam terowong mencapai pendengar TCP 3389 destinasi. Kemudian jabat tangan NLA klien mengesahkan akaun terhadap destinasi. Hanya selepas ketiga-tiganya, pihak berkuasa keselamatan setempat menyemak sama ada akaun mempunyai hak log masuk yang diperlukan oleh sesi jauh interaktif.

Oleh sebab susunannya tetap, setiap pintu menyembunyikan pintu di belakangnya. Terowong yang gagal tidak memberitahu apa-apa tentang penghalaan; port yang disekat tidak memberitahu apa-apa tentang hak log masuk; ujian port yang berjaya tidak memberitahu apa-apa tentang kemasukan. Itulah sebabnya «VPN berfungsi tetapi RDP tidak» bukan satu masalah tetapi sempadan antara dua pintu ini, dan itulah sebabnya teks ralat ialah cara terpantas untuk mengetahui pintu mana yang anda temui.

Hak yang sebenarnya menolak sesi

Log masuk ke desktop jauh memerlukan hak pengguna Benarkan log masuk melalui Perkhidmatan Desktop Jauh, SeRemoteInteractiveLogonRight. Ia disemak semasa log masuk, bukan semasa terowong dibina, jadi akaun boleh melayari rangkaian berjam-jam dan masih dinafikan desktop. Dialog yang memaparkannya berada di Dasar Setempat, Penetapan Hak Pengguna, dan pasangan domainnya berada dalam GPO.

Keahlian lalai bergantung pada peranan mesin: stesen kerja dan pelayan ahli memberikannya kepada Administrators dan Remote Desktop Users, manakala pengawal domain hanya memberikannya kepada Administrators. Fakta tunggal itu menjelaskan sebahagian besar kekeliruan, kerana akaun yang sama berjaya pada pelayan fail dan gagal pada DC. Hak tolak mengalahkan hak izin yang sepadan tanpa mengira keahlian kumpulan, jadi akaun yang kedua-duanya dibenarkan dan ditolak akan ditolak. Kumpulan tolak yang luas boleh menangkap pentadbir yang ditambah sebagai bantuan.

Baca dasar berkesan, bukan dialog setempat

Dasar setempat ditimpa oleh mana-mana GPO domain yang mentakrifkan hak yang sama, jadi snap-in setempat boleh memaparkan senarai yang kelihatan betul sementara keadaan berkesan berbeza. Eksport apa yang sebenarnya digunakan oleh mesin, kemudian cari hak itu dan baca SID dan bukannya nama paparan:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Dalam output itu, *S-1-5-32-544 ialah Administrators dan *S-1-5-32-555 ialah Remote Desktop Users.

Jika kedua-duanya tidak muncul, tiada sesiapa kecuali pemegang dasar boleh membuka desktop, apa pun yang dicadangkan oleh dialog Pengguna dan Kumpulan setempat. Kemudian gpresult menamakan GPO yang menang, dan itulah objek yang perlu anda edit; menukar dasar setempat pada mesin yang disertai domain ialah ujian, bukan pembaikan.

Berikan hak paling sempit yang sesuai

Jawapan biasa ialah kumpulan Remote Desktop Users pada destinasi. Ia membawa hak secara lalai, jauh lebih kecil daripada Administrators, dan memisahkan «boleh membuka desktop» daripada «boleh mengurus pelayan». Di mana dasar telah mengagihkan semula hak secara jelas, tambah kumpulan atau akaun itu ke dasar tersebut dan bukannya menambah kumpulan yang tiada siapa niatkan sebagai kawalan akses.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Semak senarai tolak sebelum menambah apa-apa. Jika hak tolak menamakan kumpulan yang mengandungi pengguna, perubahan yang betul ialah mengeluarkan akaun daripada kumpulan itu atau menyempitkan penolakan, bukan menambah izin kedua di tempat lain. Catat hak mana yang anda tukar dan di mana, kerana penyegaran GPO kemudian akan memulihkan keadaan sebelumnya secara senyap dan tiket akan dibuka semula dengan mesej yang sama.

Asingkan laluan rangkaian sebagai keputusan sendiri

Kumpulan VPN tidak perlu mencapai setiap port. Apabila kumpulan memerlukan aplikasi dan bukan desktop, peraturan firewall yang terhad kepada kolam terowong dan port aplikasi memberi kesan kepada dasar itu, manakala hak log masuk kekal tidak tersentuh.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Konfigurasi setiap klien OpenVPN dan kebenaran kumpulan Access Server boleh mengehadkan awalan destinasi dalam semangat yang sama; kedua-duanya tidak memberikan hak log masuk Windows, dan hak log masuk tidak boleh membuka port. Simpan kedua-duanya dalam tetingkap perubahan berasingan, kerana peraturan port dan hak diluluskan oleh orang yang berbeza.

Sahkan dalam susunan yang sama seperti pintu digunakan: bolehkah akaun membina terowong, adakah sesi mencapai pendengar, adakah klien mengesahkan, dan adakah akaun mempunyai hak itu. Ping yang gagal sementara ujian port berjaya ialah firewall yang menjawab ICMP secara berbeza, bukan bukti bahawa RDP disekat. Rujukan Microsoft tentang hak log masuk menyenaraikan lalai mengikut peranan mesin dan peraturan bahawa penolakan mengalahkan izin.