پرته له لرې ډیسکټاپ حقونو VPN ته لاسرسی: څلور جلا دروازې

یو کارن VPN ته نښلوي، د فایل شریکول او داخلي اپلیکیشن پرانیزي، او بیا د RDP هڅه «د کارن حساب د لرې ننوتلو لپاره اجازه نه لري» بیرته راګرځوي۔ په دې پیغام کې د تونل په اړه هیڅ غلط نه دی۔ د VPN حساب او متقابل ډیسکټاپ ترمنځ څلور خپلواکې دروازې دي، او یوازې وروستۍ یې دا رامنځته کړه۔ خلک معمولاً په Administrators کې حساب اضافه کولو سره ځواب ورکوي، چې له ډیسکټاپ څخه ډېر څه ورکوي او که ډله ییزه پالیسي یې رد کړي دروازه نه سموني۔ دلته دا ده چې هره دروازه واقعاً څه کوي او څنګه یوازې هغه دروازه بدله کړو چې ردوي۔

څلور دروازې په ټاکلي ترتیب کې

دروازه لومړی پرېکړه کوي چې آیا پیژندنه کولای شي تونل جوړ کړي: RADIUS پالیسي، د ډلې شرط، د سند تایید، د Access Server اجازه۔ بیا د لارښوونې او فایر وال پرېکړه کوي چې د تونل له حوضې څخه راغلی بسته د موخې TCP 3389 اورېدونکي ته رسېږي که نه۔ بیا د کلاینت NLA لاس ورکول حساب د موخې په وړاندې تصدیقوي۔ یوازې له دې درېو وروسته سیمه ییز امنیتي مرجع ګوري چې آیا حساب د متقابل لرې ناستې لپاره اړین د ننوتلو حق لري۔

ځکه چې ترتیب ټاکلی دی، هره دروازه هغه چې د هغې شاته دي پټوي۔ ناکام تونل د لارښوونې په اړه هیڅ نه وایي؛ بند پورټ د ننوتلو حق په اړه هیڅ نه وایي؛ بریالۍ پورټ ازموینه د داخلېدو په اړه هیڅ نه وایي۔ نو ځکه «VPN کار کوي خو RDP نه» یوه ستونزه نه ده بلکې د دې دروازو له دوو ترمنځ پوله ده، او نو ځکه د تېروتنې متن تر ټولو چټکه لاره ده چې پوه شئ کومې دروازې ته ورپېښ شوي یاست۔

هغه حق چې ناسته واقعاً ردوي

لرې ډیسکټاپ ته ننوتل د کارن حق د لرې ډیسکټاپ خدمتونو له لارې ننوتلو ته اجازه ورکړئ، یعنې SeRemoteInteractiveLogonRight ته اړتیا لري۔ دا د ننوتلو پر مهال ګڼل کېږي، نه د تونل جوړولو پر مهال، نو ځکه حساب کولای شي ساعتونه په شبکه وګرځي او بیا هم ډیسکټاپ ورته رد شي۔ هغه خبرې اترې چې دا ښیي د سیمه ییزو پالیسیو، د کارن حقونو ټاکلو لاندې دي، او د ډومین معادل یې په GPO کې دی۔

تلواليز غړیتوب د ماشین رول پورې اړه لري: کاري سټیشنونه او غړي سرورونه دا Administrators او Remote Desktop Users ته ورکوي، پداسې حال کې چې د ډومین کنټرولر یوازې Administrators ته ورکوي۔ دا یوه واقعیت ډېره ګډوډي تشریح کوي، ځکه ورته حساب په فایل سرور کې بریالی او په DC کې ناکام وي۔ د رد حق له ډلې غړیتوب پرته د اړوند اجازې حق له پامه غورځوي، نو هغه حساب چې هم اجازه او هم رد لري رد کېږي۔ پراخه د رد ډله کولای شي هغه مدیر هم ونیسي چې د مهربانۍ له مخې اضافه شوی وي۔

اغېزمنه پالیسي ولولئ، نه سیمه ییز خبرې اترې

سیمه ییزه پالیسي د هر هغه ډومین GPO لخوا بدلېږي چې ورته حق تعریفوي، نو سیمه ییز snap-in کولای شي سم ښکاره لړلیست وښیي پداسې حال کې چې اغېزمن حالت بل دی۔ صادر کړئ چې ماشین واقعاً څه پلي کوي، بیا حق ولټوئ او د ښودل شوو نومونو پرځای SID ولولئ:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

په دې پایله کې *S-1-5-32-544 Administrators دی او *S-1-5-32-555 Remote Desktop Users دی۔

که دواړه ونه ښکاره شي، نو د سیمه ییز کارنانو او ډلو خبرې اترې هر څه وړاندیز وکړي، د پالیسي مالک پرته بل څوک نه شي کولای ډیسکټاپ پرانیزي۔ بیا gpresult هغه GPO نوموي چې بریالی شو، او هغه شی دی چې تاسو یې سمول غواړئ؛ په ډومین پورې تړلي ماشین کې سیمه ییزه پالیسي بدلول ازموینه ده، نه سمون۔

تر ټولو تنګ مناسبه حق ورکړئ

معمول ځواب په موخه کې د Remote Desktop Users ډله ده۔ دا په تلواليز ډول حق لري، له Administrators څخه ډېره کوچنۍ ده، او «ډیسکټاپ پرانیستلای شي» له «سرور مدیریتولای شي» څخه بېلوي۔ چېرې چې پالیسي حق په څرګنده توګه بیا ووېشل، هلته هغه ډله یا حساب په همدې پالیسي کې اضافه کړئ، نه هغه ډله چې هیچا د لاسرسي کنټرول په توګه نه وه پلان کړې۔

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

له هر څه اضافه کولو دمخه د رد لړلیست وګورئ۔ که د رد حق هغه ډله ونوموي چې کارن پکې دی، سم بدلون دا دی چې حساب له هغې ډلې لرې کړئ یا رد تنګ کړئ، نه دا چې بل ځای دوهمه اجازه اضافه کړئ۔ ولیکئ کوم حق او چېرې مو بدل کړ، ځکه وروسته GPO تازه کول پخوانی حالت په خاموشۍ بحالوي او ټکټ به همدې پیغام سره بیا پرانیستل شي۔

د شبکې لاره جلا پرېکړه وساتئ

د VPN ډله اړ نه ده چې هر پورټ ته ورسیږي۔ کله چې ډلې ته ډیسکټاپ نه بلکې اپلیکیشن ته اړتیا وي، د تونل حوضې او د اپلیکیشن پورټ پورې محدوده فایر وال قاعده هغې پالیسي ته اغېزه ورکوي، پداسې حال کې چې د ننوتلو حق نه لمس کېږي۔

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN خپله د هر کلاینت ترتیب او د Access Server ډلې اجازې کولای شي د موخې مخکښې په همدې روح کې محدودې کړي؛ هېڅ یو یې د Windows د ننوتلو حق نه ورکوي، او د ننوتلو حق نه شي کولای پورټ پرانیزي۔ دوی په جلا بدلون کړکیو کې وساتئ، ځکه د پورټ قاعده او حق بېلابېل خلک تصویبوي۔

په هغه ترتیب چې دروازې پلي کېږي تصدیق کړئ: آیا حساب تونل جوړولای شي، آیا ناسته اورېدونکي ته رسېږي، آیا کلاینت تصدیق کوي او آیا حساب حق لري۔ هغه ping چې ناکامېږي پداسې حال کې چې پورټ ازموینه بریالۍ ده، هغه فایر وال دی چې ICMP ته بل ډول ځواب وایي، نه د RDP د بندیدو ثبوت۔ د Microsoft د ننوتلو حق حواله د ماشین رول له مخې تلواليز ارزښتونه او هغه قاعده لړلیکوي چې رد پر اجازه غوره دی۔