Aċċess VPN mingħajr drittijiet tad-desktop remot: erba’ gradi separati

Utent jikkonnettja mal-VPN, jiftaħ kondiviżjoni tal-fajls u applikazzjoni interna, u mbagħad tentattiv ta’ RDP jirritorna «il-kont tal-utent mhuwiex awtorizzat għal login remota». F’dan il-messaġġ m’hemm xejn ħażin dwar il-mina. Erba’ gradi indipendenti joqogħdu bejn kont VPN u desktop interattiv, u għadhom l-aħħar wieħed ipproduċih. In-nies normalment jirrispondu billi jżidu l-kont ma’ Administrators, li jagħti ħafna aktar mid-desktop u ma jsewwix il-grada jekk il-Politika tal-Grupp tiċħadha. Hawnhekk hemm x’jagħmel kull grada fil-verità, u kif tibdel biss dik li tiċħad.

Erba’ gradi fi ordni fissa

Il-grada l-ewwel tiddeċiedi jekk l-identità tistax tibni mina: politika RADIUS, kundizzjoni tal-grupp, verifika taċ-ċertifikat, permess ta’ Access Server. Imbagħad ir-routing u l-firewalls jiddeċiedu jekk il-pakkett mill-pool tal-mina jilħaqx il-listener TCP 3389 tad-destinazzjoni. Imbagħad il-handshake NLA tal-klijent jawtentika l-kont mad-destinazzjoni. Biss wara dawn it-tlieta l-awtorità tas-sigurtà lokali tivverifika jekk il-kont għandux id-dritt tal-login li teħtieġ sessjoni remota interattiva.

Billi l-ordni hija fissa, kull grada taħbi dawk ta’ warajha. Mina li falliet ma tgħid xejn dwar ir-routing; port imblukkat ma jgħid xejn dwar id-dritt tal-login; test tal-port li rnexxa ma jgħid xejn dwar id-dħul. Huwa għalhekk li «il-VPN jaħdem imma RDP le» mhuwiex problema waħda iżda fruntiera bejn tnejn minn dawn il-gradi, u huwa għalhekk li t-test tal-iżball huwa l-iktar mod mgħaġġel biex tkun taf liema waħda ltqajt magħha.

Id-dritt li fil-verità jiċħad is-sessjoni

Il-login fuq id-desktop remot jeħtieġ id-dritt tal-utent Ħalli l-login permezz tas-Servizzi tad-Desktop Remot, SeRemoteInteractiveLogonRight. Dan jiġi vverifikat fil-login, mhux fil-bini tal-mina, għalhekk kont jista’ jibqa’ jdur in-netwerk għal sigħat u xorta jiġi miċħud desktop. Id-djalogu li jurih jinsab taħt Politiki Lokali, Assenjazzjoni tad-Drittijiet tal-Utent, u l-ekwivalenti tad-dominju jinsab f’GPO.

L-appartenenza awtomatika tiddependi mir-rwol tal-magna: l-istazzjonijiet tax-xogħol u s-servers membri jagħtuha lil Administrators u Remote Desktop Users, filwaqt li kontrollur tad-dominju jagħtiha biss lil Administrators. Dan il-fatt wieħed jispjega l-biċċa l-kbira tal-konfużjoni, għax l-istess kont jirnexxi fuq server tal-fajls u jonqos fuq DC. Dritt ta’ ċaħda jegħleb id-dritt ta’ permess korrispondenti irrispettivament mill-appartenenza fil-grupp, għalhekk kont li jkun kemm permess kif ukoll miċħud jiġi miċħud. Grupp ta’ ċaħda wiesa’ jista’ jaqbad amministratur miżjud bħala ġest.

Aqra l-politika effettiva, mhux id-djalogu lokali

Il-politika lokali tiġi sostitwita minn kwalunkwe GPO tad-dominju li tiddefinixxi l-istess dritt, għalhekk is-snap-in lokali jista’ juri lista li tidher korretta filwaqt li l-istat effettiv ikun differenti. Esporta dak li l-magna fil-verità tapplika, imbagħad fittex id-dritt u aqra s-SIDs minflok l-ismijiet tal-wiri:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

F’dak l-output, *S-1-5-32-544 hija Administrators u *S-1-5-32-555 hija Remote Desktop Users.

Jekk la wieħed u lanqas l-ieħor ma jidher, ħadd ħlief detentur tal-politika ma jista’ jiftaħ desktop, tkun xi tkun il-proposta tad-djalogu lokali tal-Utenti u l-Gruppi. Imbagħad gpresult isemmi l-GPO li rebħet, u dak huwa l-oġġett li trid teditja; li tbiddel il-politika lokali fuq magna magħquda mad-dominju huwa test, mhux tiswija.

Agħti l-iktar dritt dejjaq li jaqbel

It-tweġiba tas-soltu hija l-grupp Remote Desktop Users fuq id-destinazzjoni. Dan iġorr id-dritt b’mod awtomatiku, huwa ħafna iżgħar minn Administrators, u jifred «jista’ jiftaħ desktop» minn «jista’ jamministra s-server». Fejn il-politika reassenjat id-dritt b’mod espliċitu, żid il-grupp jew il-kont ma’ dik il-politika minflok ma żżid grupp li ħadd ma kien behsiebu bħala kontroll tal-aċċess.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Iċċekkja l-lista taċ-ċaħdiet qabel ma żżid xejn. Jekk dritt ta’ ċaħda jsemmi grupp li fih l-utent, il-bidla korretta hija li tneħħi l-kont minn dak il-grupp jew li ċċekken iċ-ċaħda, mhux li żżid it-tieni permess band’oħra. Innota liema dritt biddilt u fejn, għax aġġornament aktar tard tal-GPO ser jerġa’ jġib l-istat preċedenti bil-kwiet u l-biljett jerġa’ jinfetaħ bl-istess messaġġ.

Żomm il-mogħdija tan-netwerk bħala deċiżjoni separata

Il-grupp VPN m’għandux għalfejn jasal għal kull port. Meta grupp ikun jeħtieġ applikazzjoni u mhux desktop, regola tal-firewall limitata għall-pool tal-mina u għall-port tal-applikazzjoni tagħti effett lil dik il-politika, filwaqt li d-dritt tal-login jibqa’ mhux mittiefes.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Il-konfigurazzjoni ta’ OpenVPN għal kull klijent u l-permessi tal-grupp ta’ Access Server jistgħu jillimitaw il-prefissi tad-destinazzjoni fl-istess spirtu; l-ebda waħda minnhom ma tagħti dritt tal-login ta’ Windows, u dritt tal-login ma jistax jiftaħ port. Żommhom fi twieqi tal-bidla separati, għax regola tal-port u dritt jiġu approvati minn nies differenti.

Ivverifika fl-istess ordni li biha japplikaw il-gradi: jista’ l-kont ibni l-mina, tasal is-sessjoni għall-listener, tawtentika ruħha l-klijent, u għandu l-kont id-dritt. Ping li jonqos filwaqt li t-test tal-port jirnexxi huwa firewall li jwieġeb b’mod differenti għal ICMP, mhux prova li RDP huwa mblukkat. Ir-referenza ta’ Microsoft dwar id-dritt tal-login telenka l-awtomatiki skont ir-rwol tal-magna u r-regola li ċ-ċaħda tegħleb il-permess.