දුරස්ථ ඩෙස්ක්ටොප් අයිතිවාසිකම් නොමැතිව VPN ප්‍රවේශය: වෙන් වූ ද්වාර හතරක්

පරිශීලකයෙකු VPN වෙත සම්බන්ධ වී, ගොනු බෙදාගැනීමක් සහ අභ්‍යන්තර යෙදුමක් විවෘත කර, පසුව RDP උත්සාහයක් «පරිශීලක ගිණුමට දුරස්ථ පිවිසුමට අවසර නැත» ලෙස ලබා දෙයි. එම පණිවිඩයේ ටනලය සම්බන්ධව කිසිදු වැරැද්දක් නැත. VPN ගිණුමක් සහ අන්තර්ක්‍රියාකාරී ඩෙස්ක්ටොප් අතර ස්වාධීන ද්වාර හතරක් ඇති අතර, එය නිපදවූයේ අවසාන එක පමණි. මිනිසුන් සාමාන්‍යයෙන් ගිණුම Administrators වෙත එක් කිරීමෙන් ප්‍රතිචාර දක්වයි; එය ඩෙස්ක්ටොපයට වඩා බෙහෙවින් වැඩි අයිතිවාසිකම් ලබා දෙන අතර කණ්ඩායම් ප්‍රතිපත්තිය එය ප්‍රතික්ෂේප කරන්නේ නම් ද්වාරය නිවැරදි නොකරයි. එක් එක් ද්වාරය ඇත්තටම කරන්නේ කුමක්ද සහ ප්‍රතික්ෂේප කරන ද්වාරය පමණක් වෙනස් කරන්නේ කෙසේද යන්න මෙයයි.

ද්වාර හතරක් ස්ථිර අනුපිළිවෙලක

ගේට්වේ පළමුව අනන්‍යතාවට ටනලයක් තැනිය හැකිද යන්න තීරණය කරයි: RADIUS ප්‍රතිපත්තියක්, කණ්ඩායම් කොන්දේසියක්, සහතික පරීක්ෂාවක්, Access Server අවසරයක්. පසුව මාර්ගගත කිරීම සහ ෆයර්වෝල් ටනල් තටාකයෙන් එන පැකට්ටුව ගමනාන්තයේ TCP 3389 ශ්‍රවණයා වෙත ළඟා වේද යන්න තීරණය කරයි. පසුව සේවාලාභියාගේ NLA අත්වැල් ගැසීම ගමනාන්තය සමඟ ගිණුම සත්‍යාපනය කරයි. මෙම තුනෙන් පසුව පමණක් දේශීය ආරක්ෂක අධිකාරිය අන්තර්ක්‍රියාකාරී දුරස්ථ සැසියකට අවශ්‍ය පිවිසුම් අයිතිය ගිණුමට ඇත්ද යන්න පරීක්ෂා කරයි.

අනුපිළිවෙල ස්ථිර බැවින්, එක් එක් ද්වාරය ඊට පිටුපස ඇති ද්වාර සඟවයි. අසාර්ථක ටනලයක් මාර්ගගත කිරීම ගැන කිසිවක් නොකියයි; අවහිර වූ තොටුපළක් පිවිසුම් අයිතිය ගැන කිසිවක් නොකියයි; සාර්ථක තොටුපළ පරීක්ෂාවක් පිළිගැනීම ගැන කිසිවක් නොකියයි. එබැවින් «VPN ක්‍රියා කරයි නමුත් RDP නොකරයි» යනු එක් ගැටලුවක් නොව මෙම ද්වාරවලින් දෙකක් අතර මායිමකි, එබැවින් දෝෂ පෙළ ඔබ කවරකට ගැටුණේදැයි දැනගැනීමේ වේගවත්ම මාර්ගයයි.

සැසිය ඇත්තටම ප්‍රතික්ෂේප කරන අයිතිය

දුරස්ථ ඩෙස්ක්ටොප් වෙත පිවිසීමට පරිශීලක අයිතිය දුරස්ථ ඩෙස්ක්ටොප් සේවා හරහා පිවිසීමට අවසර දෙන්න, එනම් SeRemoteInteractiveLogonRight අවශ්‍ය වේ. එය පිවිසුමේදී පරීක්ෂා කරනු ලබයි, ටනලය තැනීමේදී නොවේ, එබැවින් ගිණුමකට පැය ගණනක් ජාලයේ සැරිසැරිය හැකි අතර එසේ වුවද ඩෙස්ක්ටොපයක් ප්‍රතික්ෂේප විය හැක. එය පෙන්වන සංවාදය දේශීය ප්‍රතිපත්ති, පරිශීලක අයිතිවාසිකම් පැවරීම යටතේ ඇති අතර, වසම් සමානකම GPO එකක ඇත.

පෙරනිමි සාමාජිකත්වය යන්ත්‍රයේ භූමිකාව මත රඳා පවතී: වැඩස්ථාන සහ සාමාජික සර්වර් එය Administrators සහ Remote Desktop Users වෙත ලබා දෙන අතර, වසම් පාලකය එය Administrators වෙත පමණක් ලබා දෙයි. එම එක් කරුණම බොහෝ ව්‍යාකූලතාව පැහැදිලි කරයි, මන්ද එකම ගිණුම ගොනු සර්වරයක සාර්ථක වන අතර DC එකක අසාර්ථක වේ. ප්‍රතික්ෂේප අයිතිය කණ්ඩායම් සාමාජිකත්වය නොසලකා අනුරූප අවසර අයිතිය පරදවයි, එබැවින් අවසරය සහ ප්‍රතික්ෂේපය යන දෙකම ඇති ගිණුම ප්‍රතික්ෂේප වේ. පුළුල් ප්‍රතික්ෂේප කණ්ඩායමකට උපකාරයක් ලෙස එක් කළ පරිපාලකයෙකුද අල්ලා ගත හැක.

ඵලදායී ප්‍රතිපත්තිය කියවන්න, දේශීය සංවාදය නොවේ

දේශීය ප්‍රතිපත්තිය එකම අයිතිය නිර්වචනය කරන ඕනෑම වසම් GPO එකකින් අභිබවා යයි, එබැවින් දේශීය ස්නැප්-ඉන් එකට නිවැරදි ලෙස පෙනෙන ලැයිස්තුවක් පෙන්විය හැකි අතර ඵලදායී තත්ත්වය වෙනස් විය හැක. යන්ත්‍රය ඇත්තටම යොදන දේ අපනයනය කර, පසුව අයිතිය සොයා, පෙන්වන නම් වෙනුවට SID කියවන්න:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

එම ප්‍රතිදානයේ *S-1-5-32-544 යනු Administrators වන අතර *S-1-5-32-555 යනු Remote Desktop Users වේ.

දෙකම නොපෙනේ නම්, දේශීය පරිශීලකයින් සහ කණ්ඩායම් සංවාදය කුමක් යෝජනා කළත්, ප්‍රතිපත්ති හිමිකරු හැර කිසිවෙකුට ඩෙස්ක්ටොපයක් විවෘත කළ නොහැක. එවිට gpresult ජයග්‍රහණය කළ GPO නම් කරයි, එය ඔබ සංස්කරණය කළ යුතු වස්තුවයි; වසමට සම්බන්ධ යන්ත්‍රයක දේශීය ප්‍රතිපත්තිය වෙනස් කිරීම පරීක්ෂණයක් මිස නිවැරදි කිරීමක් නොවේ.

ගැළපෙන පටුම අයිතිය ලබා දෙන්න

සාමාන්‍ය පිළිතුර ගමනාන්තයේ Remote Desktop Users කණ්ඩායමයි. එය පෙරනිමියෙන් අයිතිය දරයි, Administrators ට වඩා බෙහෙවින් කුඩා වන අතර «ඩෙස්ක්ටොපයක් විවෘත කළ හැක» සහ «සර්වරය කළමනාකරණය කළ හැක» වෙන් කරයි. ප්‍රතිපත්තිය අයිතිය පැහැදිලිව නැවත පැවරූ තැන, කිසිවෙකු ප්‍රවේශ පාලනයක් ලෙස නොසිතූ කණ්ඩායමක් එක් කිරීම වෙනුවට එම කණ්ඩායම හෝ ගිණුම එම ප්‍රතිපත්තියට එක් කරන්න.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

කිසිවක් එක් කිරීමට පෙර ප්‍රතික්ෂේප ලැයිස්තුව පරීක්ෂා කරන්න. ප්‍රතික්ෂේප අයිතියක් පරිශීලකයා අඩංගු කණ්ඩායමක් නම් කරන්නේ නම්, නිවැරදි වෙනස්කම ගිණුම එම කණ්ඩායමෙන් ඉවත් කිරීම හෝ ප්‍රතික්ෂේපය පටු කිරීම මිස වෙනත් තැනක දෙවන අවසරයක් එක් කිරීම නොවේ. ඔබ කුමන අයිතිය කොහේදී වෙනස් කළේදැයි සටහන් කරන්න, මන්ද පසුව GPO නැවුම් කිරීමක් පෙර තත්ත්වය නිශ්ශබ්දව ප්‍රතිස්ථාපනය කරන අතර ටිකට්පත එම පණිවිඩය සමඟ නැවත විවෘත වේ.

ජාල මාර්ගය වෙන් වූ තීරණයක් ලෙස තබන්න

VPN කණ්ඩායම සෑම තොටුපළකටම ළඟා විය යුතු නැත. කණ්ඩායමකට ඩෙස්ක්ටොපයක් නොව යෙදුමක් අවශ්‍ය විට, ටනල් තටාකය සහ යෙදුම් තොටුපළට සීමා වූ ෆයර්වෝල් නියමයක් එම ප්‍රතිපත්තියට බලපෑමක් ලබා දෙයි, පිවිසුම් අයිතිය ස්පර්ශ නොවී පවතී.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN හි තමන්ගේම සේවාලාභී-එකකට කොන්ෆිගරේෂන් සහ Access Server කණ්ඩායම් අවසර එම ආත්මයෙන්ම ගමනාන්ත උපසර්ග සීමා කළ හැක; ඒවායින් කිසිවක් Windows පිවිසුම් අයිතියක් ලබා නොදෙන අතර, පිවිසුම් අයිතියකට තොටුපළක් විවෘත කළ නොහැක. ඒවා වෙන් වූ වෙනස්කම් කවුළු තුළ තබන්න, මන්ද තොටුපළ නියමය සහ අයිතිය විවිධ පුද්ගලයින් විසින් අනුමත කරනු ලැබේ.

ද්වාර අදාළ වන එම අනුපිළිවෙලින්ම සත්‍යාපනය කරන්න: ගිණුමට ටනලය තැනිය හැකිද, සැසිය ශ්‍රවණයා වෙත ළඟා වේද, සේවාලාභියා සත්‍යාපනය කරයිද, ගිණුමට අයිතිය තිබේද. තොටුපළ පරීක්ෂාව සාර්ථක වන අතර ping අසාර්ථක වන්නේ නම්, එය ICMP සඳහා වෙනස් ලෙස පිළිතුරු දෙන ෆයර්වෝල් එකක් මිස RDP අවහිර වී ඇති බවට සාක්ෂියක් නොවේ. Microsoft හි පිවිසුම් අයිතිය පිළිබඳ යොමුව යන්ත්‍ර භූමිකාව අනුව පෙරනිමි සහ ප්‍රතික්ෂේපය අවසරය පරදවන බවට නියමය ලැයිස්තුගත කරයි.