रिमोट डेस्कटप अधिकार बिना VPN पहुँच: चार अलग ढोका

एक प्रयोगकर्ता VPN मा जोडिन्छ, फाइल साझेदारी र आन्तरिक अनुप्रयोग खोल्छ, र त्यसपछि RDP प्रयासले «प्रयोगकर्ता खाता टाढाको लगइनका लागि अधिकृत छैन» फर्काउँछ। त्यो सन्देशमा सुरुङबारे केही गलत छैन। VPN खाता र अन्तरक्रियात्मक डेस्कटपबीच चार स्वतन्त्र ढोका छन्, र यो अन्तिमले मात्र उत्पादन गर्यो। मानिसहरू सामान्यतया खाता Administrators मा थपेर प्रतिक्रिया दिन्छन्, जसले डेस्कटपभन्दा धेरै बढी दिन्छ र समूह नीतिले अस्वीकार गरेमा ढोका सुधार्दैन। यहाँ प्रत्येक ढोकाले वास्तवमा के गर्छ र अस्वीकार गर्ने ढोका मात्र कसरी बदल्ने भन्ने छ।

चार ढोका निश्चित क्रममा

गेटवेले पहिले पहिचानले सुरुङ बनाउन सक्छ कि भनेर निर्णय गर्छ: RADIUS नीति, समूह सर्त, प्रमाणपत्र जाँच, Access Server अनुमति। त्यसपछि राउटिङ र फायरवालले सुरुङ पूलबाट आएको प्याकेट गन्तव्यको TCP 3389 श्रोतासम्म पुग्छ कि भनेर निर्णय गर्छन्। त्यसपछि क्लाइन्टको NLA ह्यान्डशेकले गन्तव्यसामु खाता प्रमाणित गर्छ। यी तीनपछि मात्र स्थानीय सुरक्षा अधिकारीले अन्तरक्रियात्मक टाढाको सत्रले आवश्यक ठान्ने लगआन अधिकार खातासँग छ कि भनेर जाँच्छ।

क्रम निश्चित भएकाले, प्रत्येक ढोकाले आफ्ना पछाडिका ढोका लुकाउँछ। असफल सुरुङले राउटिङबारे केही भन्दैन; अवरुद्ध पोर्टले लगआन अधिकारबारे केही भन्दैन; सफल पोर्ट परीक्षणले प्रवेशबारे केही भन्दैन। त्यसैले «VPN काम गर्छ तर RDP गर्दैन» एउटा समस्या होइन तर यी ढोकामध्ये दुईबीचको सीमा हो, र त्यसैले त्रुटि पाठ तपाईं कुन ढोकामा ठोक्किनुभयो भन्ने जान्ने सबैभन्दा छिटो माध्यम हो।

सत्रलाई वास्तवमै अस्वीकार गर्ने अधिकार

रिमोट डेस्कटपमा साइन-इन गर्न प्रयोगकर्ता अधिकार रिमोट डेस्कटप सेवाहरूमार्फत लगआन अनुमति दिनुहोस्, अर्थात् SeRemoteInteractiveLogonRight आवश्यक छ। यो लगआनको समयमा जाँचिन्छ, सुरुङ स्थापना गर्दा होइन, त्यसैले खाता घण्टौं नेटवर्कमा घुम्न सक्छ र तैपनि डेस्कटप अस्वीकार गर्न सकिन्छ। यो देखाउने संवाद स्थानीय नीतिहरू, प्रयोगकर्ता अधिकार असाइनमेन्टमा छ, र डोमेन समकक्ष GPO मा छ।

पूर्वनिर्धारित सदस्यता मेसिनको भूमिकामा निर्भर गर्छ: वर्कस्टेशन र सदस्य सर्भरले यो Administrators र Remote Desktop Users लाई दिन्छन्, जबकि डोमेन कन्ट्रोलरले Administrators लाई मात्र दिन्छ। यो एक तथ्यले धेरै भ्रम व्याख्या गर्छ, किनभने उही खाता फाइल सर्भरमा सफल हुन्छ र DC मा असफल। अस्वीकार अधिकारले समूह सदस्यता नभई सम्बन्धित अनुमति अधिकारलाई हराउँछ, त्यसैले अनुमति र अस्वीकार दुवै भएको खाता अस्वीकार गरिन्छ। फराकिलो अस्वीकार समूहले उपकारस्वरूप थपिएको प्रशासकलाई पनि समात्न सक्छ।

प्रभावकारी नीति पढ्नुहोस्, स्थानीय संवाद होइन

स्थानीय नीतिलाई उही अधिकार परिभाषित गर्ने कुनै पनि डोमेन GPO ले अधिलेखन गर्छ, त्यसैले स्थानीय स्न्याप-इनले सही देखिने सूची देखाउन सक्छ जबकि प्रभावकारी स्थिति फरक हुन्छ। मेसिनले वास्तवमा के लागू गर्छ निर्यात गर्नुहोस्, त्यसपछि अधिकार खोज्नुहोस् र देखाइएका नामको सट्टा SID पढ्नुहोस्:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

त्यो आउटपुटमा *S-1-5-32-544 भनेको Administrators हो र *S-1-5-32-555 भनेको Remote Desktop Users हो।

यदि दुवैमध्ये कुनै देखिएन भने, स्थानीय प्रयोगकर्ता र समूह संवादले जे सुझाव दिए पनि, नीति धारकबाहेक कसैले डेस्कटप खोल्न सक्दैन। त्यसपछि gpresult ले जित्ने GPO को नाम दिन्छ, र त्यही वस्तु तपाईंले सम्पादन गर्नुपर्ने हुन्छ; डोमेन-जोडिएको मेसिनमा स्थानीय नीति बदल्नु परीक्षण हो, समाधान होइन।

मिल्ने सबैभन्दा साँघुरो अधिकार दिनुहोस्

सामान्य उत्तर गन्तव्यको Remote Desktop Users समूह हो। यसले पूर्वनिर्धारित रूपमा अधिकार बोक्छ, Administrators भन्दा धेरै सानो छ, र «डेस्कटप खोल्न सक्छ» र «सर्भर व्यवस्थापन गर्न सक्छ» लाई अलग गर्छ। जहाँ नीतिले अधिकार स्पष्ट रूपमा पुनःविभाजन गरेको छ, त्यहाँ कसैले पहुँच नियन्त्रणका रूपमा नसोचेको समूह थप्नुको सट्टा त्यो समूह वा खाता त्यो नीतिमा थप्नुहोस्।

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

केही थप्नुअघि अस्वीकार सूची जाँच्नुहोस्। यदि अस्वीकार अधिकारले प्रयोगकर्ता समावेश भएको समूहको नाम लिन्छ भने, सही परिवर्तन खातालाई त्यो समूहबाट हटाउनु वा अस्वीकार साँघुरो बनाउनु हो, अन्यत्र दोस्रो अनुमति थप्नु होइन। तपाईंले कुन अधिकार र कहाँ बदल्नुभयो लेख्नुहोस्, किनभने पछिको GPO रिफ्रेसले अघिल्लो स्थिति चुपचाप पुनर्स्थापित गर्नेछ र टिकट उही सन्देशसँग फेरि खुल्नेछ।

नेटवर्क मार्गलाई अलग निर्णय राख्नुहोस्

VPN समूहले हरेक पोर्टसम्म पुग्नु पर्दैन। जब समूहलाई डेस्कटप होइन अनुप्रयोग चाहिन्छ, सुरुङ पूल र अनुप्रयोग पोर्टमा सीमित फायरवाल नियमले त्यो नीतिलाई प्रभाव दिन्छ, जबकि लगआन अधिकार अछुत रहन्छ।

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN को आफ्नै प्रति-क्लाइन्ट कन्फिगरेसन र Access Server समूह अनुमतिले गन्तव्य प्रिफिक्सहरू त्यही भावनामा सीमित गर्न सक्छन्; तीमध्ये कुनैले Windows लगआन अधिकार दिँदैन, र लगआन अधिकारले पोर्ट खोल्न सक्दैन। तिनीहरूलाई अलग परिवर्तन विन्डोमा राख्नुहोस्, किनभने पोर्ट नियम र अधिकार फरक मानिसहरूले स्वीकृत गर्छन्।

ढोकाहरू लागू हुने क्रममै प्रमाणित गर्नुहोस्: खाताले सुरुङ स्थापना गर्न सक्छ, सत्र श्रोतासम्म पुग्छ, क्लाइन्ट प्रमाणित गर्छ र खातासँग अधिकार छ। पोर्ट परीक्षण सफल हुँदा असफल ping ICMP लाई फरक ढंगले जवाफ दिने फायरवाल हो, RDP अवरुद्ध भएको प्रमाण होइन। Microsoft को लगआन अधिकार सन्दर्भ ले मेसिन भूमिकाअनुसार पूर्वनिर्धारित र अस्वीकारले अनुमतिलाई हराउने नियम सूचीबद्ध गर्छ।