د RDP لپاره د اجازې قاعده اضافه کول ستاسو VPN لاسرسی نه تنګوي

پلان معقول ښکاري: موجوده د لرې ډیسکټاپ اجازه هماغسې پرېږدئ او د هغه یوازیني VPN کلاینټ چې باید لاسرسی ولري لپاره کوچنۍ اجازه اضافه کړئ۔ Windows Firewall داسې نه کار کوي۔ قاعدې داسې ترتیب شوې لیست نه دي چې په کې خورا ځانګړی ننوتل ګټي، او د پراخې اجازې تر څنګ تنګه اجازه هېڅ نه بدلوي، ځکه پراخه لا هم هغه هر چا ته اجازه ورکوي چې مخکې یې اجازه ورکړې وه۔ د خدمت تنګول یعنې هغه اجازه سمول چې لا دمخه کار کوي۔

هغه قاعده چې تاسو یې اضافه کوئ مهمه قاعده نه ده

Windows Firewall د ماشین لپاره د اړوندو پالیسي زېرمو په ټولو اړوندو داخلي قاعدو ارزونه کوي، بیا پرېکړه کوي چې ایا کومه اجازه سمون خوري او ایا کوم بندیز پرې غلبه کوي۔ د قاعدې اضافه کول اجازه زیاتوي؛ دا موجودې اجازې نه لرې کوي او نه یې محدودوي۔

نو پوښتنه هېڅکله نه ده چې تاسو څه اضافه کړل۔ پوښتنه دا ده چې اغېزمنه پالیسي څه لري وروسته له دې چې سیمه ییزه پالیسي، د ډومېن پالیسي او د پروفایل ډیفالټونه سره یوځای شي۔ یو سیمه ییز قاعده لرونکی ورک سټېشن اسانه دی چې فکر پرې وکړو؛ د ډومېن سره تړلی سرور نه۔

نو ځکه یو مدیر کولای شي داسې بدلون وکړي چې سم ښکاري، له غلط ماشین څخه یې وآزموي او پایله وکړي چې کار وکړ۔ لرې شوې سرچینه هېڅکله ونه آزمویل شوه۔ هغه آزموینه چې یوازې بریا ثابتوي، د بدلون د موخې له نیمایي څخه کم ثابتوي۔

ومومئ چې سرور کومه پته ویني

مخکې له دې چې څه محدود کړئ، په Windows کوربه کې یوه اجازه شوې ناسته وګورئ او هغه سرچینه پته ولیکئ چې سرور یې راپور ورکوي۔ دا تل هغه پته نه ده چې کلاینټ فکر کوي یې لري۔

که VPN ګېټوې د کلاینټ پتې ساتي، سرور د کلاینټ ټنل پته ویني، او د پتې له مخې محدوده قاعده مانا لري۔ که ګېټوې ژباړه کوي، هر کلاینټ د ګېټوې پتې په توګه راځي، او هغې پتې ته محدودول د هغې شاته هر کلاینټ ته لاسرسی ورکوي۔ بیا قاعده د غلط شي په اړه دقیقه ده۔

دا دوه ډیزاینونه جلا ځوابونه غواړي۔ لومړی د فایر وال په قاعده کې بیانېدای شي؛ دوهم باید هغه ځای کې پلي شي چې هویت لا شته، یعنې په خود VPN کې یا د خدمت مخې ته په تصدیق شوې ګېټوې کې۔

د فایر وال فلټر نشي کولای هغه هویت بېرته راوړي چې د شبکې ژباړې وغورځاوه، هر څومره په احتیاط سره پته ولیکل شي۔

د اغېزمنې قاعدې مالک بدل کړئ

اغېزمنه داخلي پالیسي وګورئ او هره قاعده ومومئ چې اوس د RDP ټرافیک اجازه ورکوي، په شمول هغه قاعدې چې ښودل شوی نوم یې هېڅکله د 3389 پورټ یادونه نه کوي۔ د خدمت او اپلیکیشن له مخې محدودې قاعدې هم شمېرل کېږي، او همدارنګه هغه UDP ترانسپورت چې ځینې RDP ځای پرځای کول فعالوي۔

بیا موجودې قاعدې د هغه زېرمې له لارې سمې کړئ چې مالک یې دی۔ د هغې قاعدې سیمه ییز سمون چې د ډومېن پالیسي هم تعریفوي کېدای شي یوځای شي، له پامه وغورځول شي یا پرې ولیکل شي، او د باور کولو مخکې د دې پوهېدل ارزښت لري چې کوم یې پېښېږي۔

دا حکمونه فعالې قاعدې مومي، له یوې سره تړلی د پتې فلټر ښیي او د حد بدلون مخکتنه کوي:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

دلته د قاعدو نومونه د هغه څه ځای نیوونکي دي چې بیاکتنې وموندل، او د مخکتنې بیرغ د دې لپاره دی چې په پته کې تایپي غلطي تاسو له هغه سرور څخه چې سمول یې کوئ بند نه کړي۔

لومړی بندول بیا اجازه ورکول بېل ماډل دی

د نورو فایر والونو عادت دا دی چې پراخ بندیز ولیکي او بیا پرې تنګه اجازه ورکړي۔ په Windows کې ښکاره بندیز عموماً پر اجازه غلبه کوي، نو دا ترتیب د یو کلاینټ لپاره استثنا نه، بلکې داسې خدمت جوړوي چې هیڅوک ورته نشي رسېدلی۔ پایله هغه وقفه ده چې د مات شوي RDP خدمت په څېر ښکاري۔ دا په حقیقت کې د لومړیتوب تېروتنه ده، او حل یې بله اجازه اضافه کول نه، بلکې بندیز لرې کول دي۔

په فعالو پروفایلونو کې د داخلي بندیز ډیفالټ چلند وساتئ او پرځای یې ځانګړې اجازې تنګې کړئ۔ دا ماشین د دوو متضادو قاعدو پرځای په یوه پوهېدونکې حالت کې پرېږدي چې متقابل عمل یې د لومړیتوب تفصیلاتو پورې اړه لري۔

دا د دوهمې سرچینې سره ثابت کړئ

له اجازه شوې کلاینټ او له هغې سرچینې څخه وآزمایئ چې اوس باید ناکامه شي۔ یوه بریالې اړیکه یوازې دا ثابتوي چې اجازه شوې لاره کار کوي؛ د هغه استثنا په اړه چې همدا اوس مو وکړه هېڅ نه وایي۔

که سرور کې فعال وي، ازموینه د IPv6 له لارې تکرار کړئ، ځکه چې یوازې IPv4 نیّت کولای شي د هغې پراخې IPv6 اجازې سره یوځای وي چې چا نه ده کتلي۔

په پای کې، تصدیق له لاسرسي وړتیا څخه جلا وساتئ۔ د شبکې کچې تصدیق، د حساب حقونه او د ننوتلو محدودیتونه لا هم پرېکړه کوي چې څوک ناسته کارولای شي، او فایر وال یوازې پرېکړه کوي چې څوک پوښتنه کولای شي۔ وروسته د یو وسیله لرې کول باید د هغې VPN ثبت او دا شبکه اجازه دواړه لرې کړي، که نه نو هغه پته چې تاسو محدوده کړې وه یوه ورځ به د بل چا وي۔