Dodajanje pravila dovoljenja za RDP ne zoži dostopa do VPN

Načrt se sliši smiselno: pustite obstoječe dovoljenje za Oddaljeno namizje takšno, kot je, in dodajte majhno za edinega odjemalca VPN, ki bi moral imeti dostop. Windows Firewall ne deluje tako. Pravila niso urejen seznam, v katerem zmaga najbolj specifičen vnos, in ozko dovoljenje ob širokem ne spremeni ničesar, ker široko še vedno spusti vse, ki jih je že spustilo. Zožiti storitev pomeni urediti dovoljenje, ki že opravlja delo.

Pravilo, ki ga dodate, ni pravilo, ki šteje

Windows Firewall ovrednoti vsa veljavna dohodna pravila v shrambah pravilnikov, ki veljajo za računalnik, nato odloči, ali se katero dovoljenje ujema in ali ga katera blokada preglasi. Dodajanje pravila doda dovoljenje; ne odstrani in ne natančneje opredeli dovoljenj, ki že obstajajo.

Vprašanje torej nikoli ni, kaj ste dodali. Je, kaj vsebuje veljavni pravilnik po združitvi lokalnega pravilnika, pravilnika domene in privzetih vrednosti profila. Delovno postajo z enim lokalnim pravilom je lahko razmisliti; strežnika, pridruženega domeni, ne.

Zato lahko skrbnik izvede spremembo, ki se zdi pravilna, jo preizkusi z napačnega računalnika in sklene, da je delovala. Izločen vir ni bil nikoli preizkušen. Preizkus, ki dokaže le uspeh, dokaže manj kot polovico tega, za kar je bila sprememba namenjena.

Ugotovite, kateri naslov vidi strežnik

Preden karkoli omejite, opazujte eno dovoljeno sejo na gostitelju Windows in zapišite izvorni naslov, ki ga poroča strežnik. To ni vedno naslov, za katerega odjemalec misli, da ga ima.

Če prehod VPN ohranja naslove odjemalcev, strežnik vidi naslov tunela odjemalca in pravilo, omejeno z naslovom, ima smisel. Če prehod prevaja, vsak odjemalec pride kot naslov prehoda, omejevanje na ta naslov pa daje dostop vsakemu odjemalcu za njim. Tedaj je pravilo natančno glede napačne stvari.

Ta dva načrta potrebujeta različna odgovora. Prvega je mogoče izraziti v pravilu požarnega zidu; drugega je treba uveljaviti tam, kjer identiteta še obstaja, to je v samem VPN ali v overjenem prehodu pred storitvijo.

Filter požarnega zidu ne more obnoviti identitete, ki jo je omrežno prevajanje zavrglo, ne glede na to, kako skrbno je vnesen naslov.

Spremenite lastnika veljavnega pravila

Preglejte veljavni dohodni pravilnik in poiščite vsako pravilo, ki trenutno dovoljuje promet RDP, vključno s pravili, katerih prikazano ime nikoli ne omenja vrat 3389. Štejejo tudi pravila, omejena na storitev in na aplikacijo, pa tudi transport UDP, ki ga omogočajo nekatere namestitve RDP.

Nato uredite obstoječa pravila prek shrambe, ki jih ima v lasti. Lokalna sprememba pravila, ki ga določa tudi pravilnik domene, je lahko združena, prezrta ali prepisana, in vredno je vedeti, katera od teh možnosti se zgodi, preden se nanjo zanesete.

Ti ukazi poiščejo dejavna pravila, prikažejo filter naslovov, pritrjen na eno od njih, in predogled spremembe obsega:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Imena pravil so tukaj nadomestna mesta za to, kar je ugotovil pregled, zastavica za predogled pa obstaja zato, da vas tipkarska napaka v naslovu ne zaklene izven strežnika, ki ga urejate.

Najprej blokiraj, nato dovoli je drug model

Navada iz drugih požarnih zidov je napisati široko blokado in nato ozko dovoljenje nad njo. V Windowsu izrecna blokada praviloma premaga dovoljenje, zato taka razvrstitev ustvari storitev, do katere nihče ne more priti, namesto izjeme za enega odjemalca. Rezultat je prekinitev, ki je videti kot pokvarjena storitev RDP. V resnici je napaka prednosti in popravek je odstraniti blokado, ne dodati še enega dovoljenja.

Ohranite privzeto blokiranje dohodnega prometa v dejavnih profilih in namesto tega zožite konkretna dovoljenja. To pusti računalnik z enim razumljivim stališčem namesto z dvema nasprotujočima si praviloma, katerih medsebojno delovanje je odvisno od podrobnosti prednosti.

Dokažite to z drugim virom

Preizkusite z dovoljenega odjemalca in z vira, ki bi zdaj moral spodleteti. Ena sama uspešna povezava dokaže le, da dovoljena pot deluje; o izključitvi, ki ste jo pravkar naredili, ne pove ničesar.

Ponovite preizkus prek IPv6, če ga strežnik ima omogočenega, ker lahko namera samo za IPv4 obstaja ob širokem dovoljenju za IPv6, ki ga nihče ni pogledal.

Nazadnje, overjanje držite ločeno od dosegljivosti. Overjanje na ravni omrežja, pravice računa in omejitve prijave še vedno odločajo, kdo sme uporabljati sejo, požarni zid pa odloča le, kdo sme vprašati. Odstranitev naprave pozneje bi morala odstraniti tako njeno registracijo v VPN kot to omrežno dovoljenje, sicer bo naslov, ki ste ga omejili, nekega dne pripadal nekomu drugemu.