Prístup k VPN bez práv na vzdialenú plochu: štyri samostatné brány

Používateľ sa pripojí k VPN, otvorí zdieľaný priečinok a internú aplikáciu a potom pokus o RDP vráti „používateľský účet nie je oprávnený na vzdialené prihlásenie“. V tejto správe nie je s tunelom nič zlé. Medzi účtom VPN a interaktívnou plochou stoja štyri nezávislé brány a túto správu vytvorila len posledná z nich. Ľudia zvyčajne reagujú pridaním účtu do skupiny Administrators, čo dáva oveľa viac ako plocha a bránu neopraví, ak ju skupinová politika zakazuje. Tu je, čo každá brána skutočne robí a ako zmeniť iba tú, ktorá odmieta.

Štyri brány v pevnom poradí

Brána najprv rozhodne, či identita vôbec smie vytvoriť tunel: politika RADIUS, podmienka skupiny, kontrola certifikátu, oprávnenie Access Servera. Potom smerovanie a firewally rozhodnú, či paket z fondu tunela dosiahne počúvajúci port TCP 3389 cieľa. Potom NLA handshake klienta overí účet voči cieľu. Až po týchto troch miestna bezpečnostná autorita skontroluje, či účet má právo prihlásenia, ktoré interaktívna vzdialená relácia vyžaduje.

Keďže poradie je pevné, každá brána skrýva tie za sebou. Neúspešný tunel nič nehovorí o smerovaní; zablokovaný port nič nehovorí o práve prihlásenia; úspešný test portu nič nehovorí o vpustení. Preto „VPN funguje, ale RDP nie“ nie je jeden problém, ale hranica medzi dvoma z týchto brán, a preto je text chyby najrýchlejším spôsobom, ako zistiť, na ktorú ste narazili.

Právo, ktoré reláciu skutočne odmieta

Prihlásenie na vzdialenú plochu vyžaduje používateľské právo Povoliť prihlásenie cez služby vzdialenej plochy, SeRemoteInteractiveLogonRight. Kontroluje sa pri prihlásení, nie pri zostavovaní tunela, a preto účet môže hodiny prechádzať sieťou a napriek tomu mu bude plocha odmietnutá. Dialóg, ktorý ho zobrazuje, nájdete v Miestnych zásadách, Priradenie používateľských práv, a doménový ekvivalent je v GPO.

Predvolené členstvo závisí od roly počítača: pracovné stanice a členské servery ho udeľujú skupinám Administrators a Remote Desktop Users, zatiaľ čo radič domény len skupine Administrators. Tento jediný fakt vysvetľuje väčšinu zmätku, pretože ten istý účet uspeje na súborovom serveri a zlyhá na DC. Právo odmietnutia prebíja zodpovedajúce právo povolenia bez ohľadu na členstvo v skupine, takže účet, ktorému je zároveň povolené aj odmietnuté, je odmietnutý. Široká skupina odmietnutia môže zachytiť administrátora pridaného z ochoty.

Čítajte platnú politiku, nie miestny dialóg

Miestnu politiku prepisuje každá doménová GPO, ktorá definuje rovnaké právo, takže miestny snap-in môže zobrazovať zoznam, ktorý vyzerá správne, kým skutočný stav je iný. Exportujte, čo počítač skutočne uplatňuje, potom právo vyhľadajte a čítajte SID namiesto zobrazovaných mien:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

V tomto výstupe je *S-1-5-32-544 skupina Administrators a *S-1-5-32-555 skupina Remote Desktop Users.

Ak sa neobjaví ani jedno, nikto okrem držiteľa politiky nemôže otvoriť plochu, nech miestny dialóg Používatelia a skupiny naznačuje čokoľvek. Potom gpresult pomenuje GPO, ktorá zvíťazila, a to je objekt, ktorý musíte upraviť; zmena miestnej politiky na počítači pripojenom k doméne je test, nie oprava.

Prideľte najužšie vhodné právo

Zvyčajnou odpoveďou je skupina Remote Desktop Users na cieli. Právo nesie predvolene, je oveľa menšia ako Administrators a oddeľuje „smie otvoriť plochu“ od „smie spravovať server“. Kde politika právo výslovne prepridelila, pridajte do tejto politiky skupinu alebo účet, namiesto pridávania skupiny, ktorú nikto nezamýšľal ako riadenie prístupu.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Pred pridaním čohokoľvek skontrolujte zoznam odmietnutí. Ak právo odmietnutia pomenúva skupinu, ktorá obsahuje používateľa, správnou zmenou je odobrať účet z tejto skupiny alebo zúžiť odmietnutie, nie pridať druhé povolenie inde. Zapíšte, ktoré právo a kde ste zmenili, pretože neskoršie obnovenie GPO potichu vráti predchádzajúci stav a tiket sa znova otvorí s rovnakou správou.

Sieťovú cestu držte ako samostatné rozhodnutie

Skupina VPN nemusí dosiahnuť na každý port. Keď skupina potrebuje aplikáciu a nie plochu, pravidlo firewallu obmedzené na fond tunela a port aplikácie dá tejto politike účinnosť, zatiaľ čo právo prihlásenia zostane nedotknuté.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Vlastná konfigurácia OpenVPN pre jednotlivých klientov a oprávnenia skupín Access Servera môžu v rovnakom duchu obmedziť predpony cieľa; ani jedno z nich neudeľuje právo prihlásenia Windows a právo prihlásenia nemôže otvoriť port. Držte ich v samostatných oknách zmien, pretože pravidlo portu a právo schvaľujú rôzni ľudia.

Overujte v rovnakom poradí, v akom sa brány uplatňujú: môže účet vytvoriť tunel, dosiahne relácia počúvajúci port, overí sa klient a má účet právo. Ping, ktorý zlyhá, kým test portu uspeje, je firewall odpovedajúci inak na ICMP, nie dôkaz, že RDP je zablokované. Referenčná dokumentácia Microsoftu k právu prihlásenia uvádza predvolené hodnoty podľa roly počítača a pravidlo, že odmietnutie prebíja povolenie.