Dostop VPN brez pravic do oddaljenega namizja: štiri ločena vrata

Uporabnik se poveže z VPN, odpre datotečno skupno rabo in notranjo aplikacijo, nato pa poskus RDP vrne »uporabniški račun ni pooblaščen za oddaljeno prijavo«. V tem sporočilu s predorom ni nič narobe. Med računom VPN in interaktivnim namizjem stojijo štiri neodvisna vrata, in samo zadnja so to povzročila. Ljudje običajno odgovorijo tako, da račun dodajo v skupino Administrators, kar daje veliko več kot namizje in ne popravi vrat, če jih skupinska politika zavrne. Tu je, kaj vsaka vrata v resnici počnejo in kako spremeniti samo tista, ki zavračajo.

Štiri vrata v stalnem vrstnem redu

Prehod najprej odloči, ali identiteta sploh sme vzpostaviti predor: politika RADIUS, pogoj skupine, preverjanje potrdila, dovoljenje Access Serverja. Nato usmerjanje in požarni zidovi odločijo, ali paket iz bazena predora doseže poslušalca TCP 3389 cilja. Nato rokovanje NLA odjemalca overi račun pri cilju. Šele po teh treh lokalna varnostna oblast preveri, ali ima račun pravico prijave, ki jo zahteva interaktivna oddaljena seja.

Ker je vrstni red stalen, vsaka vrata skrijejo tista za seboj. Neuspešen predor ne pove ničesar o usmerjanju; blokirana vrata ne povedo ničesar o pravici prijave; uspešen preskus vrat ne pove ničesar o sprejemu. Zato »VPN deluje, RDP pa ne« ni ena težava, ampak meja med dvoje od teh vrat, in zato je besedilo napake najhitrejši način, da ugotovite, na katera ste naleteli.

Pravica, ki sejo v resnici zavrne

Prijava v oddaljeno namizje zahteva uporabniško pravico Dovoli prijavo prek storitev oddaljenega namizja, SeRemoteInteractiveLogonRight. Preveri se ob prijavi, ne ob vzpostavitvi predora, zato lahko račun ure dolgo brska po omrežju in mu je namizje vseeno zavrnjeno. Pogovorno okno, ki jo prikaže, je v Lokalne politike, Dodeljevanje uporabniških pravic, domenska ustreznica pa je v GPO.

Privzeto članstvo je odvisno od vloge računalnika: delovne postaje in članski strežniki jo podelijo skupinama Administrators in Remote Desktop Users, medtem ko krmilnik domene samo skupini Administrators. To eno dejstvo pojasni večino zmede, saj isti račun uspe na datotečnem strežniku in spodleti na DC. Pravica zavrnitve premaga ustrezno pravico dovoljenja ne glede na članstvo v skupini, zato je račun, ki mu je hkrati dovoljeno in zavrnjeno, zavrnjen. Široka skupina zavrnitve lahko ujame skrbnika, dodanega iz uslužnosti.

Berite veljavno politiko, ne lokalnega pogovora

Lokalno politiko prepiše vsaka domenska GPO, ki opredeljuje isto pravico, zato lahko lokalni snap-in prikaže na videz pravilen seznam, medtem ko je dejansko stanje drugačno. Izvozite, kar računalnik v resnici uporablja, nato poiščite pravico in berite SID namesto prikazanih imen:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

V tem izpisu je *S-1-5-32-544 Administrators, *S-1-5-32-555 pa Remote Desktop Users.

Če se ne prikaže nobena, nihče razen imetnika politike ne more odpreti namizja, karkoli predlaga lokalno pogovorno okno Uporabniki in skupine. Nato gpresult imenuje GPO, ki je zmagala, in to je predmet, ki ga morate urediti; spreminjanje lokalne politike na računalniku, pridruženem domeni, je preskus, ne popravek.

Dodelite najožjo ustrezno pravico

Običajen odgovor je skupina Remote Desktop Users na cilju. Pravico nosi privzeto, je veliko manjša od skupine Administrators in ločuje »lahko odpre namizje« od »lahko upravlja strežnik«. Kjer je politika pravico izrecno prerazporedila, dodajte skupino ali račun tej politiki, namesto da dodate skupino, ki je nihče ni nameraval uporabiti kot nadzor dostopa.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Preden kar koli dodate, preverite seznam zavrnitev. Če pravica zavrnitve imenuje skupino, ki vsebuje uporabnika, je prava sprememba odstranitev računa iz te skupine ali zožitev zavrnitve, ne dodajanje drugega dovoljenja drugje. Zabeležite, katero pravico in kje ste spremenili, ker bo poznejše osvežitve GPO tiho obnovilo prejšnje stanje in zahtevek se bo znova odprl z istim sporočilom.

Omrežno pot ohranite kot ločeno odločitev

Skupini VPN ni treba doseči vsakih vrat. Ko skupina potrebuje aplikacijo in ne namizja, pravilo požarnega zidu, omejeno na bazen predora in vrata aplikacije, uveljavi to politiko, medtem ko pravica prijave ostane nedotaknjena.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Lastna konfiguracija OpenVPN za vsakega odjemalca in dovoljenja skupin Access Serverja lahko v istem duhu omejijo predpone cilja; nobeno od njih ne podeli pravice prijave Windows in pravica prijave ne more odpreti vrat. Imajte jih v ločenih oknih sprememb, ker pravilo vrat in pravico odobrijo različni ljudje.

Preverjajte v istem vrstnem redu, v katerem veljajo vrata: ali lahko račun vzpostavi predor, ali seja doseže poslušalca, ali se odjemalec overi in ali ima račun pravico. Ping, ki spodleti, medtem ko preskus vrat uspe, je požarni zid, ki na ICMP odgovarja drugače, ne dokaz, da je RDP blokiran. Microsoftova referenca o pravici prijave navaja privzete vrednosti glede na vlogo računalnika in pravilo, da zavrnitev premaga dovoljenje.