RDP ਲਈ ਇਜਾਜ਼ਤ ਨਿਯਮ ਜੋੜਨ ਨਾਲ ਤੁਹਾਡੀ VPN ਪਹੁੰਚ ਸੰਕੁਚਿਤ ਨਹੀਂ ਹੁੰਦੀ

ਯੋਜਨਾ ਵਾਜਬ ਲੱਗਦੀ ਹੈ: ਮੌਜੂਦਾ ਰਿਮੋਟ ਡੈਸਕਟਾਪ ਇਜਾਜ਼ਤ ਨੂੰ ਜਿਵੇਂ ਹੈ ਤਿਵੇਂ ਰਹਿਣ ਦਿਓ ਅਤੇ ਉਸ ਇੱਕਲੌਤੇ VPN ਕਲਾਇੰਟ ਲਈ ਛੋਟੀ ਇਜਾਜ਼ਤ ਜੋੜੋ ਜਿਸ ਨੂੰ ਪਹੁੰਚ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ। Windows Firewall ਇਸ ਤਰ੍ਹਾਂ ਕੰਮ ਨਹੀਂ ਕਰਦਾ। ਨਿਯਮ ਕੋਈ ਕ੍ਰਮਬੱਧ ਸੂਚੀ ਨਹੀਂ ਹਨ ਜਿਸ ਵਿੱਚ ਸਭ ਤੋਂ ਖਾਸ ਐਂਟਰੀ ਜਿੱਤਦੀ ਹੈ, ਅਤੇ ਚੌੜੀ ਇਜਾਜ਼ਤ ਦੇ ਕੋਲ ਸੰਕੁਚਿਤ ਇਜਾਜ਼ਤ ਕੁਝ ਨਹੀਂ ਬਦਲਦੀ, ਕਿਉਂਕਿ ਚੌੜੀ ਇਜਾਜ਼ਤ ਉਨ੍ਹਾਂ ਸਾਰਿਆਂ ਨੂੰ ਹਾਲੇ ਵੀ ਆਉਣ ਦਿੰਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਆਉਣ ਦਿੰਦੀ ਸੀ। ਸੇਵਾ ਨੂੰ ਸੰਕੁਚਿਤ ਕਰਨ ਦਾ ਮਤਲਬ ਉਹੀ ਇਜਾਜ਼ਤ ਸੋਧਣਾ ਹੈ ਜੋ ਪਹਿਲਾਂ ਹੀ ਕੰਮ ਕਰ ਰਹੀ ਹੈ।

ਤੁਸੀਂ ਜੋ ਨਿਯਮ ਜੋੜਦੇ ਹੋ ਉਹ ਮਹੱਤਵਪੂਰਨ ਨਿਯਮ ਨਹੀਂ ਹੈ

Windows Firewall ਮਸ਼ੀਨ 'ਤੇ ਲਾਗੂ ਨੀਤੀ ਭੰਡਾਰਾਂ ਵਿੱਚ ਸਾਰੇ ਲਾਗੂ ਇਨਬਾਊਂਡ ਨਿਯਮਾਂ ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ, ਫਿਰ ਫੈਸਲਾ ਕਰਦਾ ਹੈ ਕਿ ਕੋਈ ਇਜਾਜ਼ਤ ਮੇਲ ਖਾਂਦੀ ਹੈ ਜਾਂ ਨਹੀਂ ਅਤੇ ਕੋਈ ਬਲਾਕ ਉਸ ਨੂੰ ਓਵਰਰਾਈਡ ਕਰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਨਿਯਮ ਜੋੜਨ ਨਾਲ ਇਜਾਜ਼ਤ ਜੁੜਦੀ ਹੈ; ਇਹ ਪਹਿਲਾਂ ਹੀ ਮੌਜੂਦ ਇਜਾਜ਼ਤਾਂ ਨੂੰ ਹਟਾਉਂਦਾ ਜਾਂ ਸੀਮਤ ਨਹੀਂ ਕਰਦਾ।

ਇਸ ਲਈ ਸਵਾਲ ਕਦੇ ਵੀ ਇਹ ਨਹੀਂ ਹੁੰਦਾ ਕਿ ਤੁਸੀਂ ਕੀ ਜੋੜਿਆ। ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਪ੍ਰਭਾਵੀ ਨੀਤੀ ਵਿੱਚ ਕੀ ਹੈ ਸਥਾਨਕ ਨੀਤੀ, ਡੋਮੇਨ ਨੀਤੀ ਅਤੇ ਪ੍ਰੋਫਾਈਲ ਦੇ ਡਿਫ਼ਾਲਟ ਮਿਲਣ ਤੋਂ ਬਾਅਦ। ਇੱਕ ਸਥਾਨਕ ਨਿਯਮ ਵਾਲੇ ਵਰਕਸਟੇਸ਼ਨ ਬਾਰੇ ਸੋਚਣਾ ਸੌਖਾ ਹੈ; ਡੋਮੇਨ ਨਾਲ ਜੁੜੇ ਸਰਵਰ ਬਾਰੇ ਨਹੀਂ।

ਇਸੇ ਲਈ ਪ੍ਰਬੰਧਕ ਸਹੀ ਦਿਸਦਾ ਬਦਲਾਅ ਕਰ ਸਕਦਾ ਹੈ, ਉਸ ਨੂੰ ਗਲਤ ਮਸ਼ੀਨ ਤੋਂ ਪਰਖ ਸਕਦਾ ਹੈ ਅਤੇ ਸਿੱਟਾ ਕੱਢ ਸਕਦਾ ਹੈ ਕਿ ਇਹ ਚੱਲਿਆ। ਬਾਹਰ ਰੱਖੇ ਸਰੋਤ ਦੀ ਕਦੇ ਪਰਖ ਨਹੀਂ ਹੋਈ। ਜੋ ਪਰਖ ਸਿਰਫ਼ ਸਫਲਤਾ ਸਾਬਤ ਕਰਦੀ ਹੈ ਉਹ ਬਦਲਾਅ ਦੇ ਮਕਸਦ ਦੇ ਅੱਧ ਤੋਂ ਵੀ ਘੱਟ ਸਾਬਤ ਕਰਦੀ ਹੈ।

ਪਤਾ ਲਗਾਓ ਕਿ ਸਰਵਰ ਕਿਹੜਾ ਪਤਾ ਦੇਖਦਾ ਹੈ

ਕੁਝ ਵੀ ਸੀਮਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ Windows ਹੋਸਟ 'ਤੇ ਇੱਕ ਮਨਜ਼ੂਰ ਸੈਸ਼ਨ ਦੇਖੋ ਅਤੇ ਉਹ ਸਰੋਤ ਪਤਾ ਲਿਖੋ ਜੋ ਸਰਵਰ ਦੱਸਦਾ ਹੈ। ਇਹ ਹਮੇਸ਼ਾ ਉਹ ਪਤਾ ਨਹੀਂ ਹੁੰਦਾ ਜੋ ਕਲਾਇੰਟ ਸੋਚਦਾ ਹੈ ਕਿ ਉਸ ਕੋਲ ਹੈ।

ਜੇ VPN ਗੇਟਵੇ ਕਲਾਇੰਟ ਪਤੇ ਸੰਭਾਲਦਾ ਹੈ, ਤਾਂ ਸਰਵਰ ਕਲਾਇੰਟ ਦਾ ਟਨਲ ਪਤਾ ਦੇਖਦਾ ਹੈ, ਅਤੇ ਪਤੇ ਨਾਲ ਸੀਮਤ ਨਿਯਮ ਅਰਥਪੂਰਨ ਹੁੰਦਾ ਹੈ। ਜੇ ਗੇਟਵੇ ਅਨੁਵਾਦ ਕਰਦਾ ਹੈ, ਤਾਂ ਹਰ ਕਲਾਇੰਟ ਗੇਟਵੇ ਦੇ ਪਤੇ ਵਜੋਂ ਆਉਂਦਾ ਹੈ, ਅਤੇ ਉਸ ਪਤੇ ਤੱਕ ਸੀਮਤ ਕਰਨਾ ਉਸ ਦੇ ਪਿੱਛੇ ਦੇ ਹਰ ਕਲਾਇੰਟ ਨੂੰ ਪਹੁੰਚ ਦਿੰਦਾ ਹੈ। ਤਦ ਨਿਯਮ ਗਲਤ ਚੀਜ਼ ਬਾਰੇ ਸਟੀਕ ਹੁੰਦਾ ਹੈ।

ਇਹਨਾਂ ਦੋ ਡਿਜ਼ਾਈਨਾਂ ਨੂੰ ਵੱਖਰੇ ਜਵਾਬ ਚਾਹੀਦੇ ਹਨ। ਪਹਿਲਾ ਫਾਇਰਵਾਲ ਨਿਯਮ ਵਿੱਚ ਬਿਆਨ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ; ਦੂਜਾ ਉੱਥੇ ਲਾਗੂ ਕਰਨਾ ਪਵੇਗਾ ਜਿੱਥੇ ਪਛਾਣ ਅਜੇ ਵੀ ਮੌਜੂਦ ਹੈ, ਭਾਵ VPN ਵਿੱਚ ਹੀ ਜਾਂ ਸੇਵਾ ਦੇ ਸਾਹਮਣੇ ਪ੍ਰਮਾਣਿਤ ਗੇਟਵੇ ਵਿੱਚ।

ਫਾਇਰਵਾਲ ਫਿਲਟਰ ਨੈੱਟਵਰਕ ਅਨੁਵਾਦ ਨੇ ਸੁੱਟੀ ਪਛਾਣ ਵਾਪਸ ਨਹੀਂ ਲਿਆ ਸਕਦਾ, ਪਤਾ ਭਾਵੇਂ ਕਿੰਨੀ ਸਾਵਧਾਨੀ ਨਾਲ ਟਾਈਪ ਕੀਤਾ ਗਿਆ ਹੋਵੇ।

ਪ੍ਰਭਾਵੀ ਨਿਯਮ ਦਾ ਮਾਲਕ ਬਦਲੋ

ਪ੍ਰਭਾਵੀ ਇਨਬਾਊਂਡ ਨੀਤੀ ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਹਰ ਉਹ ਨਿਯਮ ਲੱਭੋ ਜੋ ਹੁਣ RDP ਟ੍ਰੈਫਿਕ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜਿਨ੍ਹਾਂ ਨਿਯਮਾਂ ਸਮੇਤ ਜਿਨ੍ਹਾਂ ਦੇ ਦਿਸਦੇ ਨਾਮ ਵਿੱਚ ਕਦੇ ਪੋਰਟ 3389 ਦਾ ਜ਼ਿਕਰ ਨਹੀਂ ਹੁੰਦਾ। ਸੇਵਾ-ਸੀਮਤ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ-ਸੀਮਤ ਨਿਯਮ ਵੀ ਗਿਣੇ ਜਾਂਦੇ ਹਨ, ਅਤੇ ਉਹ UDP ਆਵਾਜਾਈ ਵੀ ਜੋ ਕੁਝ RDP ਤੈਨਾਤੀਆਂ ਸਮਰੱਥ ਕਰਦੀਆਂ ਹਨ।

ਫਿਰ ਮੌਜੂਦਾ ਨਿਯਮਾਂ ਨੂੰ ਉਸ ਭੰਡਾਰ ਰਾਹੀਂ ਸੋਧੋ ਜੋ ਉਨ੍ਹਾਂ ਦਾ ਮਾਲਕ ਹੈ। ਡੋਮੇਨ ਨੀਤੀ ਵੀ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦੀ ਨਿਯਮ ਵਿੱਚ ਸਥਾਨਕ ਸੋਧ ਮਿਲ ਸਕਦੀ ਹੈ, ਅਣਡਿੱਠੀ ਹੋ ਸਕਦੀ ਹੈ ਜਾਂ ਮੁੜ ਲਿਖੀ ਜਾ ਸਕਦੀ ਹੈ, ਅਤੇ ਇਸ 'ਤੇ ਨਿਰਭਰ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਜਾਣਨਾ ਲਾਹੇਵੰਦ ਹੈ ਕਿ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੀ ਹੁੰਦਾ ਹੈ।

ਇਹ ਕਮਾਂਡਾਂ ਸਰਗਰਮ ਨਿਯਮ ਲੱਭਦੀਆਂ ਹਨ, ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨਾਲ ਜੁੜਿਆ ਪਤਾ ਫਿਲਟਰ ਦਿਖਾਉਂਦੀਆਂ ਹਨ ਅਤੇ ਦਾਇਰੇ ਦੇ ਬਦਲਾਅ ਦਾ ਪੂਰਵ-ਦਰਸ਼ਨ ਕਰਦੀਆਂ ਹਨ:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

ਇੱਥੇ ਨਿਯਮਾਂ ਦੇ ਨਾਮ ਸਮੀਖਿਆ ਵਿੱਚ ਮਿਲੀ ਗੱਲ ਦੇ ਪਲੇਸਹੋਲਡਰ ਹਨ, ਅਤੇ ਪੂਰਵ-ਦਰਸ਼ਨ ਝੰਡਾ ਇਸ ਲਈ ਹੈ ਕਿ ਪਤੇ ਵਿੱਚ ਟਾਈਪੋ ਤੁਹਾਨੂੰ ਉਸ ਸਰਵਰ ਤੋਂ ਬਾਹਰ ਨ ਕਰ ਦੇਵੇ ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਸੋਧ ਰਹੇ ਹੋ।

ਪਹਿਲਾਂ ਬਲਾਕ ਫਿਰ ਇਜਾਜ਼ਤ ਇੱਕ ਵੱਖਰਾ ਮਾਡਲ ਹੈ

ਹੋਰ ਫਾਇਰਵਾਲਾਂ ਦੀ ਆਦਤ ਚੌੜਾ ਬਲਾਕ ਲਿਖਣ ਅਤੇ ਫਿਰ ਉਸ ਦੇ ਉੱਤੇ ਸੰਕੁਚਿਤ ਇਜਾਜ਼ਤ ਦੇਣ ਦੀ ਹੈ। Windows ਵਿੱਚ ਸਪੱਸ਼ਟ ਬਲਾਕ ਆਮ ਤੌਰ 'ਤੇ ਇਜਾਜ਼ਤ ਨੂੰ ਮਾਤ ਦਿੰਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਕ੍ਰਮ ਇੱਕ ਕਲਾਇੰਟ ਲਈ ਅਪਵਾਦ ਦੀ ਥਾਂ ਅਜਿਹੀ ਸੇਵਾ ਬਣਾਉਂਦਾ ਹੈ ਜਿੱਥੇ ਕੋਈ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦਾ। ਨਤੀਜਾ ਉਹ ਰੁਕਾਵਟ ਹੈ ਜੋ ਟੁੱਟੀ RDP ਸੇਵਾ ਵਾਂਗ ਦਿਸਦੀ ਹੈ। ਇਹ ਅਸਲ ਵਿੱਚ ਤਰਜੀਹ ਦੀ ਗਲਤੀ ਹੈ, ਅਤੇ ਹੱਲ ਦੂਜੀ ਇਜਾਜ਼ਤ ਜੋੜਨਾ ਨਹੀਂ ਬਲਕਿ ਬਲਾਕ ਹਟਾਉਣਾ ਹੈ।

ਸਰਗਰਮ ਪ੍ਰੋਫਾਈਲਾਂ 'ਤੇ ਡਿਫ਼ਾਲਟ ਇਨਬਾਊਂਡ ਬਲਾਕ ਵਿਵਹਾਰ ਰੱਖੋ ਅਤੇ ਇਸ ਦੀ ਥਾਂ ਖਾਸ ਇਜਾਜ਼ਤਾਂ ਨੂੰ ਸੰਕੁਚਿਤ ਕਰੋ। ਇਸ ਨਾਲ ਮਸ਼ੀਨ ਦੋ ਵਿਰੋਧੀ ਨਿਯਮਾਂ ਦੀ ਥਾਂ ਇੱਕ ਸਮਝਣ ਯੋਗ ਸਥਿਤੀ ਵਿੱਚ ਰਹਿੰਦੀ ਹੈ, ਜਿਨ੍ਹਾਂ ਦਾ ਆਪਸੀ ਪ੍ਰਭਾਵ ਤਰਜੀਹ ਦੇ ਵੇਰਵਿਆਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ।

ਦੂਜੇ ਸਰੋਤ ਨਾਲ ਇਹ ਸਾਬਤ ਕਰੋ

ਮਨਜ਼ੂਰ ਕਲਾਇੰਟ ਤੋਂ ਅਤੇ ਉਸ ਸਰੋਤ ਤੋਂ ਪਰਖੋ ਜੋ ਹੁਣ ਨਾਕਾਮ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਇੱਕ ਕਾਮਯਾਬ ਕਨੈਕਸ਼ਨ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਮਨਜ਼ੂਰ ਰਾਹ ਕੰਮ ਕਰਦਾ ਹੈ; ਇਹ ਤੁਹਾਡੇ ਵੱਲੋਂ ਹੁਣੇ ਕੀਤੇ ਬਹਿਸ਼ਕਾਰ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ।

ਜੇ ਸਰਵਰ 'ਤੇ ਸਮਰੱਥ ਹੈ ਤਾਂ IPv6 'ਤੇ ਪਰਖ ਦੁਹਰਾਓ, ਕਿਉਂਕਿ ਸਿਰਫ਼ IPv4 ਦਾ ਇਰਾਦਾ ਉਸ ਚੌੜੀ IPv6 ਇਜਾਜ਼ਤ ਨਾਲ ਸਹਿ-ਹੋਂਦ ਰੱਖ ਸਕਦਾ ਹੈ ਜਿਸ ਨੂੰ ਕਿਸੇ ਨੇ ਨਹੀਂ ਦੇਖਿਆ।

ਅੰਤ ਵਿੱਚ, ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਪਹੁੰਚ ਤੋਂ ਵੱਖਰਾ ਰੱਖੋ। ਨੈੱਟਵਰਕ ਪੱਧਰ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ, ਖਾਤਾ ਅਧਿਕਾਰ ਅਤੇ ਲੌਗਇਨ ਪਾਬੰਦੀਆਂ ਹਾਲੇ ਵੀ ਤੈਅ ਕਰਦੀਆਂ ਹਨ ਕਿ ਸੈਸ਼ਨ ਕੌਣ ਵਰਤ ਸਕਦਾ ਹੈ, ਅਤੇ ਫਾਇਰਵਾਲ ਸਿਰਫ਼ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕੌਣ ਪੁੱਛ ਸਕਦਾ ਹੈ। ਬਾਅਦ ਵਿੱਚ ਕੋਈ ਡਿਵਾਈਸ ਹਟਾਉਣ ਨਾਲ ਉਸ ਦੀ VPN ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਅਤੇ ਇਹ ਨੈੱਟਵਰਕ ਇਜਾਜ਼ਤ ਦੋਵੇਂ ਹਟਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ, ਨਹੀਂ ਤਾਂ ਤੁਹਾਡੇ ਵੱਲੋਂ ਸੀਮਤ ਕੀਤਾ ਪਤਾ ਕਿਸੇ ਦਿਨ ਕਿਸੇ ਹੋਰ ਦਾ ਹੋ ਜਾਵੇਗਾ।