Iż-żieda ta' regola ta' permess għall-RDP ma tnaqqasx l-aċċess VPN tiegħek

Il-pjan jidher raġonevoli: ħalli l-permess eżistenti għall-Desktop mill-bogħod kif inhu u żid wieħed żgħir għall-uniku klijent VPN li għandu jkollu aċċess. Windows Firewall ma jaħdimx hekk. Ir-regoli mhumiex lista ordnata li fiha jirbaħ l-aktar entrata speċifika, u permess dejjaq ħdejn wieħed wiesa' ma jbiddel xejn, għax dak wiesa' għadu jdaħħal lil kulħadd li kien diġà jdaħħal. Li tnaqqas is-servizz ifisser li teditja l-permess li diġà qed jagħmel ix-xogħol.

Ir-regola li żżid mhijiex ir-regola li tiswa'

Windows Firewall jevalwa r-regoli kollha tad-dħul applikabbli fil-maħżen tal-politiki li japplikaw għall-magna, imbagħad jiddeċiedi jekk xi permess jaqbilx u jekk xi blokk hijiex teħodha. Iż-żieda ta' regola żżid permess; ma tneħħix jew ma tiddettaljax il-permessi li diġà hemm.

Għalhekk il-mistoqsija qatt mhija x'żidt. Il-mistoqsija hija x'fih il-politika effettiva wara li l-politika lokali, il-politika tad-dominju u l-valuri prestabbiliti tal-profil jiġu magħquda. Stazzjon tax-xogħol b'regola lokali waħda huwa faċli biex taħseb dwaru; server imqabbad ma' dominju mhuwiex.

Huwa għalhekk ukoll li amministratur jista' jagħmel bidla li tidher tajba, jittestjaha mill-magna żbaljata u jikkonkludi li ħadmet. Is-sors eskluż qatt ma ġie ttestjat. Test li jipprova biss is-suċċess jipprova inqas minn nofs dak li għalih saret il-bidla.

Skopri liema indirizz jara s-server

Qabel ma tillimita xejn, osserva sessjoni waħda permessa fuq il-host Windows u nnota l-indirizz tas-sors li jirrapporta s-server. Mhux dejjem l-indirizz li l-klijent jaħseb li għandu.

Jekk il-gateway VPN iżżomm l-indirizzi tal-klijenti, is-server jara l-indirizz tat-tunnel tal-klijent, u regola limitata bl-indirizz ikollha sens. Jekk il-gateway tittraduċi, kull klijent jiġi bħala l-indirizz tal-gateway, u l-limitazzjoni għal dak l-indirizz tagħti aċċess lil kull klijent warajh. Allura r-regola tkun preċiża dwar il-ħaġa żbaljata.

Dawn iż-żewġ disinji jeħtieġu tweġibiet differenti. L-ewwel jista' jiġi espress f'regola tal-firewall; it-tieni għandu jiġi infurzat fejn l-identità għadha teżisti, jiġifieri fil-VPN innifsu jew fi gateway awtentikat quddiem is-servizz.

Filtru tal-firewall ma jistax jirkupra identità li t-traduzzjoni tan-netwerk armiet, kemm jekk l-indirizz ikun ittajpjat bl-akbar reqqa.

Ibdel is-sid tar-regola effettiva

Spezzjona l-politika tad-dħul effettiva u sib kull regola li bħalissa tippermetti traffiku RDP, inklużi regoli li isimha muri qatt ma jsemmi l-port 3389. Jgħoddu wkoll regoli limitati mis-servizz u mill-applikazzjoni, kif ukoll it-trasport UDP li xi installazzjonijiet RDP jippermettu.

Imbagħad editja r-regoli eżistenti permezz tal-maħżen li jippossedihom. Editjar lokali ta' regola li tiddefinixxi wkoll il-politika tad-dominju jista' jiġi magħqud, injorat jew miktub fuq, u tiswa' li tkun taf liema minn dawn iseħħ qabel tistrieħ fuqha.

Dawn il-kmandi jsibu r-regoli attivi, juru l-filtru tal-indirizzi mehmuż ma' waħda minnhom u jagħtu ħarsa bikrija lejn bidla fl-ambitu:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

L-ismijiet tar-regoli hawn huma sostituti għal dak li sabet ir-reviżjoni, u l-bandiera tal-ħarsa bikrija teżisti sabiex żball fl-ittokkar f'indirizz ma jaqfilx barra mis-server li qed teditja.

L-ewwel imblokka imbagħad ippermetti huwa mudell differenti

Il-vizzju minn firewalls oħra huwa li tikteb blokk wiesa' u mbagħad permess dejjaq fuqha. F'Windows blokk espliċitu ġeneralment jirbaħ fuq permess, għalhekk dak l-ordni jipproduċi servizz li ħadd ma jista' jasal għalih minflok eċċezzjoni għal klijent wieħed. Ir-riżultat huwa waqfa li tidher bħal servizz RDP miksur. Huwa fil-fatt żball ta' prijorità, u t-tiswija hija li tneħħi l-blokk minflok ma żżid permess ieħor.

Żomm l-imġiba prestabbilita tal-blokk tad-dħul fuq il-profili attivi u minflok dejjaq il-permessi speċifiċi. Dan iħalli l-magna bi stqarrija waħda li tinftiehem minflok żewġ regoli kontradittorji li l-interazzjoni tagħhom tiddependi mid-dettalji tal-prijorità.

Ipprovaha b'tieni sors

Ittestja mill-klijent permess u minn sors li issa għandu jfalli. Konnessjoni waħda b'suċċess tipprova biss li l-passaġġ permess jaħdem; ma tgħid xejn dwar l-esklużjoni li għadek kif għamilt.

Errepeti t-test fuq IPv6 jekk is-server għandu dan attivat, għax intenzjoni biss għall-IPv4 tista' teżisti flimkien ma' permess wiesa' għall-IPv6 li ħadd ma ħares lejh.

Fl-aħħar, żomm l-awtentikazzjoni separata mill-aċċessibbiltà. L-awtentikazzjoni fil-livell tan-netwerk, id-drittijiet tal-kont u r-restrizzjonijiet tal-login xorta jiddeċiedu min jista' juża s-sessjoni, u l-firewall jiddeċiedi biss min jista' jistaqsi. It-tneħħija ta' apparat aktar tard għandha tneħħi kemm ir-reġistrazzjoni VPN tiegħu kif ukoll dan il-permess tan-netwerk, inkella l-indirizz li llimitatejti xi darba jsir ta' xi ħadd ieħor.