RDP کلاینټ بدلوي: ولې ډیټابیس بل هوسټ ویني

ستاسو د VPN قاعده ډیټابیس ردوي او ټکټ د فایر وال خرابۍ په توګه بندېږي، په داسې حال کې چې همدا کارونکی یو خپور شوی ډیسکټاپ پرانیزي او پر هغه ډیټابیس بې له کومې ستونزې پوښتنه کوي۔ دواړه خبرې سمې دي۔ ډیسکټاپ بل کلاینټ دی، په هغه برخه کې چې قواعد ورته دمخه باور لري خپل پته لري، او کله چې مخته ځړېږي خپل هویت هم لري۔ هغه څه چې د متضادې قاعدې په څېر ښکاري، معمولاً دوهمه غوښتنه ده چې چا بیاکتنې ته نه ده اچولې۔

دوهمه غوښتنه خپله د کلاینټ پته لري

کله چې د غونډې دننه یو اپلیکیشن ډیټابیس ته اړیکه پرانیزي، د TCP لاس ورکول د غونډې په هوسټ پیلېږي۔ د هغې سرچینه پته د همدې هوسټ شبکې پورې اړه لري، نو په لار کې هر روټر او د ډیټابیس فایر وال ستاسو د لیپټاپ د تونل حوض پرځای د ډیسکټاپ برخه ارزوي۔ د VPN پته په هغه بهیر کې هیڅکله نه ښکاري۔ له همدې کبله د سرچینې پر بنسټ د رد قاعده کولای شي په یو وخت کې سمه او بې اړیکه وي۔

سرچینه د لیپټاپ نه، بلکې د غونډې له دننه ولولئ، بیا له همدې ځایه مخته لاره وازموئ۔ دواړه ځوابونه باید په دې کې سلا شي چې کوم هوسټ غوښتنه کوي۔

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

د غونډې راپور د هغې پتې سره پرتله کړئ چې ډیټابیس د همدې وخت لپاره ثبت کړې ده۔ کله چې د سرور لاګ د تونل حوض پرځای د ډیسکټاپ فرعي شبکه وښيي، پوښتنه له دې چې قاعده وچلېده که نه، اوړي او دا کېږي چې کوم هوسټ غوښتنه کړې ده۔ دا بله څېړنه ده چې بل مالک لري۔

هویت هم د پتې سره یوځای بدلېږي

مخته اړیکه معمولاً د غونډې ټوکن، ساتل شوي اسناد یا د اپلیکیشن د خدمت حساب په توګه تصدیقېږي، او سرچینه هغه څه ثبتوي چې ورته ورکړل شوي۔ نو په ډیټابیس کې د خدمت حساب ښودونکی پلټنیز نښه دا نه ثابتوي چې پوښتنه یو انسان چلولې ده۔ هغه انسان هم نه پېژني۔ یوازې د ډیسکټاپ خپل غونډیز لاګ دواړه ثبتونه سره یوځای کوي۔

اجازه دوه ځله کېږي، او دوهمه پرېکړه په بېلو ننوتلو کېږي۔ لومړی نومول شوي کارونکي ته د ډیسکټاپ ننوت ورکوي، دوهم بیا هغه څه ورکوي چې د هغه کارونکي ټوکن یا د اپلیکیشن حساب د سرچینې سره کولای شي۔ هغه مرستندویه ډله چې ډیسکټاپ پرانیستلای شي، په اتوماتيک ډول هغه ډله نه ده چې د پېرودونکو جدول لوستلای شي۔

د لاسرسي یادښت له لیکلو دمخه ټوکن او د استازیتوب لاره وګورئ۔ دواړه د غونډې له دننه ښکاري، او یوازینی ځای چې ځواب پکې اټکل نه دی همدا دی۔

whoami /groups
klist
query session

که اپلیکیشن د خدمت حساب کاروي، نو مخته د هماغه حقونه مهم دي۔ د هغو اسنادو څرخول د لاسرسي بیاکتنې برخه ده، نه د وروسته عملیاتي فکر۔

ولې سیده لاره لا هم او په سمه توګه بنده ده

د رد قاعده یوازې د دې له کبله غلطه نه ده چې منزل بلې لارې ته رسېدلای شي۔ برخه بندي د هرې سرچینې له مخې ارزول کېږي، او ډیسکټاپ په هغه برخه کې دی چې د دې له فکر کولو ډېر مخکې اجازه ورکړل شوې وه چې دا ډیټابیس ته لاره وي۔ هیچا تګلاره نه ده پریښې۔ تګلاره یوازې دوه بېلې سرچینې په دوو بېلو پایلو سره بیانوي۔

بیاکتنه باید ځواب ووايي چې په هغه هوسټ کې هره اجازه لرونکې غونډه څه پیلولای شي۔ د ساتل شویو غونډو براوزرونه، نښلول شوي ډرایوونه، اسناد ساتونکي اجنټان او په سیمه کې اورېدونکي خدمتونه ټول د ډیسکټاپ رسېدنه پراخوي، او هیڅ یو یې په هغه ټکټ کې نه ښکاري چې ننوت یې ورکړی دی۔ همدا لیست ریښتینی د اجازې سطح دی۔

دا د سپرېډ شیټ نه، بلکې د ازموینې غونډې له دننه وشمېرئ۔ څو حکمونه د سطحې ډېره برخه پوښي۔

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

پوله په قصد وټاکئ

درې بڼې بېلو کارونو ته ځایيږي، او ټاکنه باید کار ته لاړه شي، نه هغه وسیلې ته چې ناڅاپه شته۔ خپور شوی اپلیکیشن یو پروګرام خپلو اجازو سره ښيي، بشپړ ډیسکټاپ هر هغه څه ښيي چې د کارونکي پروفایل یې کولای شي، او تنګ ډیټابیس حساب چې د سرچینې محدودیت لري یوه سرچینه پرته له کوم ډیسکټاپ ښيي۔ تر ټولو تنګه بڼه چې کار لا هم بشپړوي هغه ده چې باید مستند شي۔ هر څه پراختر څنګ ته لیکل شوی دلیل غواړي۔

د یوې راپور لپاره خپور شوی اپلیکیشن یا محدود حساب د عمومي ډیسکټاپ نه کوچنۍ اجازه ده۔ د هغه ساتنې لپاره چې واقعاً څو وسیلې غواړي، ډیسکټاپ سم کېدلای شي، خو بیا تصویب ټول هوسټ بیانوي نه یو اپلیکیشن۔ د سرچینې له مالک نه وپوښتئ چې له دې کوم یو سره موافق دي۔

د معلوماتو خوځښت جلا سویچ دی۔ کلیپ بورډ، د ډرایو بدلون او ډاونلوډونه کولای شي د شرکت معلومات کلاینټ ته یوسي، او اپلیکیشن له لارې چلول په خپله معلومات له لارې نه ساتي۔

دواړه تصویبونه او د لرې کولو لاره وګورئ

په ثبت کې دوه تصویبونه راځي: د ډیسکټاپ ته رسېدو او پرانیستلو حق، او له هغې دننه د سرچینو کارولو حق۔ د هر یو لپاره مالک ونوموئ او دوهم د هغه چا لپاره چې سرچینه بیاکوي ښکاره وساتئ۔ پلټونکی به همدې دوهمه ننوتنه پوښتنه وکړي، ځکه دا د ننوتلو نه، بلکې د رسېدنې بیان دی۔ دواړه د بدلون له تصویبه دمخه ولیکئ، نه د لومړي پېښې وروسته۔

بیا لرې کول وازموئ، ځکه نښلول شوې غونډه کولای شي د خپل دلیل نه اوږده ژوند وکړي۔ د غونډو جدول تر ټولو ژر ځای دی چې وګورئ لا څه روان دي۔

query session
query user
qwinsta /server:rdsh01.corp.internal

د کلاینټ نښلول پرېښودل لرې غونډه روانه پرېږدي، او د هغې شبکه یې اړیکې او کاش شوي اسناد تر هغې چې غونډه ختمه شي کارېدلای شي۔ وتل وکړئ، یا غونډه په څرګنده توګه ختمه کړئ، او تایید کړئ چې له هغې وروسته لاندې شمېرونکی نور مخته نه ځي۔ د لرې کولو هغه ازموینه چې یوازې د لیپټاپ سرپوښ بندوي هېڅ نه ثابتوي۔ هماغه ازموینه یو ځل د بند حساب سره او یو ځل د لرې شوې ډیسکټاپ اجازې سره ترسره کړئ، بیا ولیکئ چې سرچینې په هر حالت کې څه ثبت کړل۔