RDP ibiddel il-klijent: għaliex id-database tara host ieħor

Ir-regola VPN tiegħek tiċħad id-database u l-biljett jingħalaq bħala ħsara tal-firewall, filwaqt li l-istess utent jiftaħ desktop ippubblikat u jistaqsi dik id-database mingħajr problemi. Iż-żewġ dikjarazzjonijiet huma veri. Id-desktop huwa klijent ieħor, bl-indirizz tiegħu stess fuq segment li r-regoli diġà jafdawh, u bl-identità tiegħu stess meta jgħaqqad ’il quddiem. Dak li jidher bħala regola kontradittorja normalment hija t-tieni talba li ħadd ma poġġa fir-reviżjoni.

It-tieni talba għandha l-indirizz tal-klijent tagħha stess

Meta applikazzjoni fis-sessjoni tiftaħ konnessjoni mad-database, il-ħruġ tal-idejn TCP jibda fuq il-host tas-sessjoni. L-indirizz tas-sors tiegħu jappartjeni għan-netwerk ta’ dak il-host, għalhekk kull router u firewall tad-database tul it-triq jevalwa s-segment tad-desktop u mhux il-baċir tat-tunnels li minnu ġie l-laptop tiegħek. L-indirizz VPN qatt ma jidher f’dak il-fluss. Għalhekk regola ta’ ċaħda bbażata fuq is-sors tista’ tkun fl-istess ħin korretta u mhux rilevanti.

Aqra l-oriġini minn ġewwa s-sessjoni u mhux mil-laptop, imbagħad ittestja t-triq ’il quddiem mill-istess post. Iż-żewġ tweġibiet għandhom jaqblu dwar liema host qed jagħmel it-talba.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Qabbel dak li tirrapporta s-sessjoni mal-indirizz li d-database rreġistrat għall-istess ħin. Meta l-log tas-server juri s-subnet tad-desktop minflok il-baċir tat-tunnels, il-mistoqsija tieqaf tkun dwar jekk ir-regola nattrx u ssir dwar liema host għamel it-talba. Dik hija investigazzjoni oħra b’sid ieħor.

L-identità tinbidel flimkien mal-indirizzar

Il-konnessjoni ’l quddiem normalment tawtentika bħala token tas-sessjoni, kredenzjali maħżuna jew kont tas-servizz tal-applikazzjoni, u r-riżors jirreġistra dak li ngħata. Għalhekk traċċa tal-awditjar li turi kont tas-servizz fuq id-database ma tipprovax li bniedem wettaq il-mistoqsija. Lanqas tidentifika lil dak il-bniedem. Biss il-log tas-sessjoni tad-desktop innifsu jgħaqqad dawk iż-żewġ rekords.

L-awtorizzazzjoni sseħħ darbtejn, u t-tieni deċiżjoni tittieħed b’inputs differenti. L-ewwel tagħti dħul fid-desktop lil utent imsemmi, filwaqt li t-tieni tagħti dak li jista’ jagħmel it-token ta’ dak l-utent jew il-kont tal-applikazzjoni mar-riżors. Grupp ta’ helpdesk li jista’ jiftaħ desktop mhuwiex awtomatikament grupp li jista’ jaqra tabella tal-klijenti.

Ħares lejn it-token u t-triq tad-delega qabel ma tikteb in-nota tal-aċċess. It-tnejn jidhru minn ġewwa s-sessjoni, u dak huwa l-uniku post fejn it-tweġiba mhix suppożizzjoni.

whoami /groups
klist
query session

Jekk l-applikazzjoni tuża kont tas-servizz, id-drittijiet tiegħu huma dawk li jimpurtaw ’il quddiem. It-tidwir ta’ dik il-kredenzjali jappartjeni għar-reviżjoni tal-aċċess, mhux għal ħsieb operattiv wara.

Għaliex it-triq diretta għadha mblukkata, u sewwa

Ir-regola ta’ ċaħda mhijiex ħażina biss għax id-destinazzjoni tista’ tintlaħaq b’mod ieħor. Is-segmentazzjoni tiġi evalwata għal kull sors, u d-desktop joqgħod fuq segment li ġie permess ħafna qabel ma ħadd ħaseb fih bħala rotta lejn id-database. Xejn ma qabeż il-politika. Il-politika sempliċement tiddeskrivi żewġ sorsi differenti b’żewġ riżultati differenti.

Dak li r-reviżjoni trid twieġeb huwa x’jista’ jibda kull sessjoni awtorizzata fuq dak il-host. Browsers b’sessjonijiet salvati, drives immappjati, aġenti li jżommu kredenzjali u servizzi li jisimgħu localment kollha jwessgħu l-firxa tad-desktop, u l-ebda wieħed minnhom ma jidher fil-biljett li ta d-dħul. Dak l-inventarju huwa l-wiċċ reali tal-permessi.

Elencah minn ġewwa sessjoni tat-test, mhux minn spreadsheet. Ftit kmand jgħattu l-biċċa l-kbira tal-wiċċ.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Agħżel il-konfini b’mod deliberat

Tliet forom jaqblu ma’ kompiti differenti, u l-għażla għandha ssegwi l-kompitu u mhux l-għodda li tiġri li teżisti. Applikazzjoni ppubblikata tesponi programm wieħed bil-permessi tiegħu, desktop sħiħ jesponi kull ma jista’ jagħmel il-profil tal-utent, u kont tad-database dejjaq b’restrizzjoni tas-sors jesponi riżors wieħed mingħajr ebda desktop. L-iżjed forma dejqa li xorta tlesti x-xogħol hija dik li trid tiġi dokumentata. Kull ħaġa usa’ teħtieġ raġuni miktuba ħdejha.

Għal rapport wieħed, applikazzjoni ppubblikata jew kont ristrett huma għotja iżgħar minn desktop ġenerali. Għall-manutenzjoni li tassew teħtieġ diversi għodod, id-desktop jista’ jkun tajjeb, iżda mbagħad l-approvazzjoni tiddeskrivi l-host kollu u mhux applikazzjoni waħda. Staqsi lis-sid tar-riżors liema minnhom qed jaqbel miegħu.

Il-moviment tad-data huwa swiċċ separat. Il-clipboard, ir-ridirezzjoni tad-drives u t-tniżżil jistgħu jġorru data tal-kumpanija lejn il-klijent, u t-tħaddim ta’ applikazzjoni mill-bogħod ma jżommx id-data mill-bogħod waħdu.

Iċċekkja ż-żewġ approvazzjonijiet u t-triq tat-tneħħija

Żewġ approvazzjonijiet jappartjenu għar-rekord: id-dritt li tintlaħaq u tinfetaħ id-desktop, u d-dritt li jintużaw riżorsi minn ġo fiha. Semmi sid għal kull waħda u żomm it-tieni waħda viżibbli għal kull min jirrevedi r-riżors. Hija dik it-tieni entrata li se jistaqsi dwarha awditur, għax tiddeskrivi l-firxa u mhux id-dħul. Ikteb iż-żewġ waħda qabel ma l-bidla tiġi approvata, mhux wara l-ewwel inċident.

Imbagħad ittestja t-tneħħija, għax sessjoni skonnettjata tista’ tgħix itwal mir-raġuni tagħha. It-tabella tas-sessjonijiet hija l-post l-aktar malajr biex tara x’għadu għaddej.

query session
query user
qwinsta /server:rdsh01.corp.internal

L-iskonnettjar tal-klijent iħalli s-sessjoni remota għaddejja, u l-konnessjonijiet tan-netwerk u l-kredenzjali fil-cache tagħha jistgħu jibqgħu użabbli sakemm tintemm dik is-sessjoni. Oħroġ, jew temm is-sessjoni b’mod espliċitu, u kkonferma li l-counter ’l isfel jieqaf javvanza wara. Test tat-tneħħija li jagħlaq biss l-għatu tal-laptop ma jipprova xejn. Mexxi l-istess test darba b’kont diżattivat u darba bil-permess tad-desktop imneħħi, imbagħad innota x’irreġistra r-riżors f’kull każ.