VPN pristup bez prava na udaljenu radnu površinu: četiri odvojena vrata

Korisnik se poveže na VPN, otvori dijeljenu mapu i internu aplikaciju, a zatim RDP pokušaj vrati „korisnički račun nije ovlašten za udaljenu prijavu”. U toj poruci ništa o tunelu nije pogrešno. Četiri nezavisna vrata stoje između VPN računa i interaktivne radne površine, a samo su ih posljednja proizvela. Ljudi obično dodaju račun u Administrators, što daje mnogo više od radne površine i ne popravlja vrata ako ih grupna politika zabranjuje. Evo šta svaka vrata zapravo rade i kako promijeniti samo ona koja odbijaju.

Četiri vrata stoje u fiksnom redu

Prolaz prvo odlučuje može li identitet uopće uspostaviti tunel: RADIUS politika, uslov grupe, provjera certifikata, dozvola Access Servera. Zatim usmjeravanje i firewall odlučuju stiže li paket iz bazena tunela do odredišnog slušača TCP 3389. Zatim NLA rukovanje klijenta autentificira račun prema odredištu. Tek nakon tih triju lokalno sigurnosno tijelo provjerava ima li račun pravo prijave koje zahtijeva interaktivna udaljena sesija.

Pošto je red fiksan, svaka vrata skrivaju ona iza sebe. Neuspješan tunel ne govori ništa o usmjeravanju; blokiran port ne govori ništa o pravu prijave; uspješan test porta ne govori ništa o dopuštenju. Zato „VPN radi ali RDP ne” nije jedan problem nego granica između dvoje ovih vrata, i zato je tekst greške najbrži način da saznate na koja ste naletjeli.

Pravo koje zapravo odbija sesiju

Prijava na udaljenu radnu površinu zahtijeva korisničko pravo Dozvoli prijavu putem usluga udaljene radne površine, SeRemoteInteractiveLogonRight. Ono se provjerava pri prijavi, ne pri postavljanju tunela, zato račun može satima pretraživati mrežu i ipak mu radna površina bude odbijena. Dijalog koji ga prikazuje nalazi se pod „Lokalne politike”, „Dodjela korisničkih prava”, a domenski ekvivalent u GPO-u.

Zadano članstvo zavisi od uloge mašine: radne stanice i članski serveri daju ga grupama Administrators i Remote Desktop Users, dok domenski kontroler daje samo grupi Administrators. Ta jedna činjenica objašnjava većinu zabune, jer isti račun uspijeva na datotečnom serveru, a pada na DC-u. Pravo odbijanja pobjeđuje odgovarajuće pravo dopuštanja bez obzira na članstvo u grupi, pa se račun kojem je i dopušteno i odbijeno odbija. Široka grupa odbijanja može uhvatiti administratora koji je dodan iz usluge.

Čitajte važeću politiku, ne lokalni dijalog

Lokalnu politiku prepisuje svaki domenski GPO koji definira isto pravo, pa lokalni snap-in može prikazati ispravnu listu dok je stvarno stanje drugačije. Izvezite šta mašina zaista primjenjuje, zatim potražite pravo i čitajte SID-ove umjesto prikazanih imena:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

U tom izlazu *S-1-5-32-544 je Administrators, a *S-1-5-32-555 je Remote Desktop Users.

Ako se ne pojavi nijedno, niko osim vlasnika politike ne može otvoriti radnu površinu, šta god lokalni dijalog za korisnike i grupe predlagao. Tada gpresult imenuje GPO koji je pobijedio, i to je objekat koji trebate urediti; mijenjanje lokalne politike na mašini pridruženoj domenu je test, a ne popravka.

Dajte najuže pravo koje odgovara

Uobičajen odgovor je grupa Remote Desktop Users na odredištu. Ona nosi pravo po zadanom, mnogo je manja od grupe Administrators i razdvaja „može otvoriti radnu površinu” od „može upravljati serverom”. Gdje je politika izričito preraspodijelila pravo, dodajte grupu ili račun u tu politiku umjesto da dodajete grupu koju niko nije namijenio za kontrolu pristupa.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Provjerite listu odbijanja prije nego što bilo šta dodate. Ako pravo odbijanja imenuje grupu koja sadrži korisnika, ispravna promjena je uklanjanje računa iz te grupe ili sužavanje odbijanja, a ne dodavanje drugog dopuštenja negdje drugo. Zabilježite koje ste pravo promijenili i gdje, jer će kasnije osvježavanje GPO-a tiho vratiti prethodno stanje i zahtjev će se ponovo otvoriti s istom porukom.

Držite mrežni put odvojenom odlukom

VPN grupa ne mora dosezati svaki port. Kada grupi treba aplikacija, a ne radna površina, firewall pravilo ograničeno na bazen tunela i port aplikacije daje učinak toj politici, dok pravo prijave ostaje netaknuto.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN-ova vlastita konfiguracija po klijentu i dozvole grupa Access Servera mogu ograničiti prefikse odredišta u istom duhu; nijedno od njih ne daje Windows pravo prijave, a pravo prijave ne može otvoriti port. Držite ih u odvojenim prozorima promjena, jer pravilo porta i pravo odobravaju različiti ljudi.

Provjeravajte redom kojim se vrata primjenjuju: može li račun uspostaviti tunel, može li sesija doći do slušača, autentificira li se klijent i ima li račun pravo. Ping koji ne uspije dok test porta uspijeva je firewall koji drugačije odgovara na ICMP, a ne dokaz da je RDP blokiran. Microsoftova referenca o pravu prijave navodi zadane vrijednosti po ulozi mašine i pravilo da odbijanje pobjeđuje dopuštenje.