RDP schimbă clientul: de ce baza de date vede alt host

Regula dumneavoastră de VPN refuză baza de date și tichetul este închis ca defect de firewall, în timp ce același utilizator deschide un desktop publicat și interoghează acea bază fără probleme. Ambele afirmații sunt adevărate. Desktopul este alt client, cu propria adresă într-un segment în care regulile au deja încredere, și cu propria identitate când se conectează mai departe. Ce pare o regulă contradictorie este de obicei o a doua cerere pe care nimeni nu a pus-o în analiză.

A doua cerere are propria adresă de client

Când o aplicație din interiorul sesiunii deschide o conexiune la baza de date, strângerea de mână TCP începe pe hostul sesiunii. Adresa sa sursă aparține rețelei acelui host, așa că fiecare router și firewall de bază de date de pe traseu evaluează segmentul desktopului și nu bazinul de tuneluri din care a venit laptopul dumneavoastră. Adresa VPN nu apare niciodată în acel flux. De aceea o regulă de refuz bazată pe sursă poate fi în același timp corectă și irelevantă.

Citiți originea din interiorul sesiunii, nu de pe laptop, apoi testați calea următoare din același loc. Cele două răspunsuri ar trebui să fie de acord cu privire la hostul care face cererea.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Comparați ce raportează sesiunea cu adresa pe care baza de date a înregistrat-o pentru același moment. Când jurnalul serverului arată subrețeaua desktopului în locul bazinului de tuneluri, întrebarea încetează să mai fie dacă regula s-a declanșat și devine care host a făcut cererea. Aceasta este altă investigație, cu alt proprietar.

Identitatea se schimbă împreună cu adresarea

Conexiunea următoare se autentifică de obicei ca token al sesiunii, acreditare stocată sau cont de serviciu al aplicației, iar resursa înregistrează ce i s-a dat. Prin urmare, o urmă de audit care arată un cont de serviciu pe baza de date nu dovedește că un om a executat interogarea. Nu identifică nici acel om. Doar jurnalul de sesiune al desktopului leagă cele două înregistrări.

Autorizarea are loc de două ori, iar a doua decizie este luată cu alte intrări. Prima acordă unui utilizator numit autentificare pe desktop, iar a doua acordă ceea ce tokenul acelui utilizator sau contul aplicației poate face resursei. Un grup de asistență care poate deschide un desktop nu este automat un grup care poate citi un tabel de clienți.

Uitați-vă la token și la calea de delegare înainte de a scrie nota de acces. Ambele sunt vizibile din interiorul sesiunii, și este singurul loc în care răspunsul nu este o presupunere.

whoami /groups
klist
query session

Dacă aplicația folosește un cont de serviciu, drepturile acestuia contează mai departe. Rotirea acelei acreditări aparține analizei de acces, nu unei gândiri operaționale ulterioare.

De ce calea directă este încă blocată, și pe bună dreptate

Regula de refuz nu este greșită doar pentru că destinația este accesibilă pe altă cale. Segmentarea este evaluată pe sursă, iar desktopul se află într-un segment permis cu mult înainte ca cineva să se gândească la el ca rută către baza de date. Nimic nu a ocolit politica. Politica descrie pur și simplu două surse diferite cu două rezultate diferite.

Ce trebuie să răspundă analiza este ce poate porni fiecare sesiune autorizată pe acel host. Browserele cu sesiuni salvate, unitățile mapate, agenții care dețin acreditări și serviciile care ascultă local extind toate aria desktopului, și niciunul nu apare în tichetul care a acordat autentificarea. Acel inventar este suprafața reală a permisiunilor.

Enumerați-l din interiorul unei sesiuni de test, nu dintr-o foaie de calcul. Câteva comenzi acoperă cea mai mare parte a suprafeței.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Alegeți granița în mod deliberat

Trei forme se potrivesc unor sarcini diferite, iar alegerea ar trebui să urmeze sarcina, nu instrumentul care există din întâmplare. O aplicație publicată expune un singur program cu propriile permisiuni, un desktop complet expune tot ce poate face profilul utilizatorului, iar un cont îngust de bază de date cu o restricție de sursă expune o singură resursă complet fără desktop. Cea mai îngustă formă care încă finalizează lucrarea este cea care trebuie documentată. Orice mai larg are nevoie de un motiv scris alături.

Pentru un singur raport, o aplicație publicată sau un cont restricționat este o concesie mai mică decât un desktop general. Pentru întreținerea care chiar are nevoie de mai multe instrumente, desktopul poate fi corect, dar atunci aprobarea descrie întregul host și nu o aplicație. Întrebați proprietarul resursei la care dintre acestea este de acord.

Mișcarea datelor este un comutator separat. Clipboardul, redirecționarea unităților și descărcările pot duce datele companiei la client, iar rularea unei aplicații la distanță nu păstrează datele la distanță prin ea însăși.

Verificați ambele aprobări și calea de eliminare

Două aprobări aparțin înregistrării: dreptul de a ajunge la desktop și de a-l deschide, și dreptul de a folosi resurse din interiorul lui. Numiți un proprietar pentru fiecare și păstrați-o pe a doua vizibilă pentru oricine analizează resursa. Despre a doua intrare va întreba un auditor, pentru că descrie aria de acoperire și nu intrarea. Scrieți ambele înainte ca schimbarea să fie aprobată, nu după primul incident.

Apoi testați eliminarea, pentru că o sesiune deconectată poate supraviețui motivului pentru care există. Tabelul sesiunilor este locul cel mai rapid pentru a vedea ce încă rulează.

query session
query user
qwinsta /server:rdsh01.corp.internal

Deconectarea clientului lasă sesiunea la distanță în execuție, iar conexiunile ei de rețea și acreditările din cache pot rămâne utilizabile până când acea sesiune se încheie. Deconectați-vă sau încheiați explicit sesiunea, și confirmați că numărătorul din aval se oprește apoi. Un test de eliminare care doar închide capacul laptopului nu dovedește nimic. Rulați același test o dată cu contul dezactivat și o dată cu permisiunea de desktop retrasă, apoi notați ce a înregistrat resursa în fiecare caz.