Pridanie pravidla povolenia pre RDP nezúži váš prístup cez VPN

Plán znie rozumne: ponechajte existujúce povolenie pre Vzdialenú plochu a pridajte malé pre jediného klienta VPN, ktorý má mať prístup. Windows Firewall tak nefunguje. Pravidlá nie sú zoradený zoznam, v ktorom vyhráva najkonkrétnejšia položka, a úzke povolenie vedľa širokého nič nemení, pretože široké stále prepúšťa všetkých, ktorých už prepúšťalo. Zúžiť službu znamená upraviť povolenie, ktoré už tú prácu robí.

Pravidlo, ktoré pridáte, nie je pravidlo, na ktorom záleží

Windows Firewall vyhodnocuje všetky použiteľné prichádzajúce pravidlá v úložiskách zásad, ktoré sa na počítač vzťahujú, a potom rozhodne, či nejaké povolenie zodpovedá a či ho nejaké blokovanie prebíja. Pridanie pravidla pridá povolenie; neodoberie ani nespresní povolenia, ktoré už existujú.

Otázka teda nikdy nie je, čo ste pridali. Je to čo obsahuje efektívna zásada po zlúčení miestnej zásady, zásady domény a predvolených hodnôt profilu. Pracovnú stanicu s jedným miestnym pravidlom je ľahké premyslieť; server pripojený k doméne nie.

Preto môže správca urobiť zmenu, ktorá vyzerá správne, otestovať ju z nesprávneho počítača a dospieť k záveru, že fungovala. Vylúčený zdroj nebol nikdy testovaný. Test, ktorý dokazuje len úspech, dokazuje menej než polovicu toho, prečo sa zmena robila.

Zistite, ktorú adresu server vidí

Skôr než čokoľvek obmedzíte, pozorujte na hostiteľovi Windows jedno povolené sedenie a zapíšte zdrojovú adresu, ktorú server hlási. Nie vždy je to adresa, o ktorej sa klient domnieva, že ju má.

Ak brána VPN zachováva adresy klientov, server vidí adresu tunela klienta a pravidlo obmedzené adresou má zmysel. Ak brána prekladá, každý klient prichádza ako adresa brány a obmedzenie na túto adresu dáva prístup každému klientovi za ňou. Pravidlo je potom presné ohľadom nesprávnej veci.

Tieto dva návrhy potrebujú rôzne odpovede. Prvý možno vyjadriť v pravidle firewallu; druhý sa musí presadiť tam, kde identita ešte existuje, teda v samotnom VPN alebo v overenej bráne pred službou.

Filter firewallu nedokáže obnoviť identitu, ktorú sieťový preklad zahodil, nech je adresa napísaná akokoľvek starostlivo.

Zmeňte vlastníka efektívneho pravidla

Preskúmajte efektívnu prichádzajúcu zásadu a nájdite každé pravidlo, ktoré momentálne prepúšťa prevádzku RDP, vrátane pravidiel, ktorých zobrazovaný názov nikdy nespomína port 3389. Počítajú sa aj pravidlá obmedzené službou a aplikáciou a tiež transport UDP, ktorý niektoré nasadenia RDP zapínajú.

Potom upravte existujúce pravidlá cez úložisko, ktoré ich vlastní. Miestna úprava pravidla, ktoré definuje aj zásada domény, môže byť zlúčená, ignorovaná alebo prepísaná, a oplatí sa vedieť, ktorá z týchto možností nastane, skôr než sa naň spoliehate.

Tieto príkazy nájdu aktívne pravidlá, zobrazia filter adries priradený k jednému z nich a zobrazia náhľad zmeny rozsahu:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Názvy pravidiel sú tu zástupné pre to, čo recenzia našla, a príznak náhľadu existuje preto, aby vás preklep v adrese nezamkol za serverom, ktorý upravujete.

Najprv blokovať, potom povoliť je iný model

Zvyk z iných firewallov je napísať široké blokovanie a nad ne úzke povolenie. Vo Windows explicitné blokovanie zvyčajne vyhráva nad povolením, takže také poradie vytvorí službu, ku ktorej sa nikto nedostane, namiesto výnimky pre jedného klienta. Výsledkom je výpadok, ktorý vyzerá ako pokazená služba RDP. V skutočnosti je to chyba priority a opravou je blokovanie odstrániť, nie pridať ďalšie povolenie.

Ponechajte predvolené blokovanie prichádzajúcej prevádzky na aktívnych profiloch a namiesto toho zúžte konkrétne povolenia. Počítač tak zostane v jednom zrozumiteľnom stave namiesto dvoch protichodných pravidiel, ktorých interakcia závisí od podrobností priority.

Dokážte to druhým zdrojom

Testujte z povoleného klienta a zo zdroja, ktorý by teraz mal zlyhať. Jediné úspešné pripojenie dokazuje len to, že povolená cesta funguje; o vylúčení, ktoré ste práve urobili, nehovorí nič.

Zopakujte test cez IPv6, ak ho server má zapnuté, pretože zámer len pre IPv4 môže existovať vedľa širokého povolenia pre IPv6, na ktoré sa nikto nepozrel.

Nakoniec držte overovanie oddelene od dostupnosti. Overovanie na úrovni siete, práva účtu a obmedzenia prihlásenia stále rozhodujú, kto smie sedenie používať, a firewall rozhoduje len o tom, kto sa smie opýtať. Odstránenie zariadenia neskôr by malo odstrániť aj jeho registráciu vo VPN a toto sieťové povolenie, inak bude adresa, ktorú ste obmedzili, raz patriť niekomu inému.