Gelitaanka VPN oo aan lahayn xuquuqda desktop fog: afar irid oo kala duwan

Isticmaale wuxuu ku xirmaa VPN, wuxuu furaa wadaag fayl iyo codsi gudaha, ka dibna isku day RDP wuxuu soo celiyaa «akoonka isticmaalaha looma fasaxin galitaan fog». Fariintaas waxba kama qaladna tunnelka. Afar irid oo madax banaan ayaa u dhexeeya akoon VPN iyo desktop is-dhexgal leh, oo keliya tan ugu dambeysa ayaa soo saartay. Dadku waxay inta badan ku jawaabaan iyagoo ku daraya akoonka Administrators, taas oo siisa wax badan ka badan desktop-ka oo aan hagaajin iridda haddii siyaasadda kooxdu diido. Waa kan waxa irid kastaa run ahaantii sameeyo, iyo sida loo beddelo kaliya tan diidan.

Afar irid oo ku yaal nidaam go’an

Iridda ayaa marka hore go'aamisa haddii aqoonsigu uu awoodo inuu dhiso tunnel: siyaasad RADIUS, shuruud koox, hubinta shahaadada, fasax Access Server. Kadib dariiqa iyo firewall-yadu waxay go'aamiyaan haddii xirmada ka timaadda barkada tunnel-ka ay gaarto dhageystaha TCP 3389 ee bartilmaameedka. Kadib gacan-qabsiga NLA ee macmiilka ayaa xaqiijiya akoonka bartilmaameedka. Kaliya kadib saddexdan ayaa hay'adda amniga maxalliga ah hubinaysaa haddii akoonku leeyahay xuquuqda galitaanka ee fadhi fog oo is-dhexgal leh uu u baahan yahay.

Maadaama nidaamku go'an yahay, irid kastaa waxay qarinaysaa kuwa ka dambeeya. Tunnel fashilmay waxba kama sheegayo dariiqa; deked xanniban waxba kama sheegayo xuquuqda galitaanka; imtixaan deked guulaystay waxba kama sheegayo gelitaanka. Taasi waa sababta «VPN way shaqaysaa laakiin RDP ma shaqayso» aanay ahayn hal dhibaato balse xad u dhexeeya laba ka mid ah iriddan, iyo sababta qoraalka khaladku u yahay habka ugu dhaqsiyaha badan ee lagu ogaado tan aad la kulantay.

Xuquuqda runtii diidda fadhiga

Galitaanka desktop fog wuxuu u baahan yahay xuquuqda isticmaalaha Oggolow galitaanka adeegyada Desktop Fog, taas oo ah SeRemoteInteractiveLogonRight. Waxaa la hubiyaa marka la galayo, ma aha marka tunnel-ka la dhisayo, sidaas darteed akoonku wuxuu saacado ku wareegi karaa shabakadda oo wali desktop laga diidi karaa. Wada-hadalka muujiya wuxuu hoos yimaadaa Siyaasadaha Maxalliga ah, Qoondaynta Xuquuqda Isticmaalaha, iyo qiimaha domainka wuxuu ku jiraa GPO.

Xubinnimada caadiga ah waxay ku xiran tahay doorka mishiinka: saldhigyada shaqada iyo server-yada xubinta waxay siiyaan Administrators iyo Remote Desktop Users, halka kontoroolka domain uu siiyo kaliya Administrators. Xaqiiqadaas keliya waxay sharraxaysaa inta badan jahwareerka, sababtoo ah isla akoonka wuu guulaystaa server fayl oo ku guuldareystaa DC. Xuquuqda diidmadu waxay ka sarreysaa xuquuqda oggolaanshaha u dhiganta iyada oo aan loo eegin xubinnimada kooxda, sidaas darteed akoonka labadaba loo oggolaaday oo loo diiday waa la diiday. Koox diidmo ballaaran ayaa qaban karta maamule loo daray si naxariis leh.

Akhri siyaasadda dhaqan, ma aha wada-hadalka maxalliga ah

Siyaasadda maxalliga ah waxaa beddela GPO kasta oo domain ah oo qeexaya isla xuquuqda, sidaas darteed snap-in maxalliga ah wuxuu muujin karaa liis u eg mid sax ah halka xaaladda dhaqanku ka duwan tahay. Dhoofi waxa mishiinku runtii codsado, ka dibna raadi xuquuqda oo akhri SID-yada halkii aad ka akhrin lahayd magacyada la muujiyay:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Natiijadaas, *S-1-5-32-544 waa Administrators iyo *S-1-5-32-555 waa Remote Desktop Users.

Haddii aan midkoodna soo muuqan, qofna ma furi karo desktop marka laga reebo milkiilaha siyaasadda, wax kasta oo wada-hadalka maxalliga ah ee Isticmaalayaasha iyo Kooxaha soo jeediyo. Markaas gpresult wuxuu magacaabaa GPO-da guulaysatay, waana shayga aad tahay inaad tafatirto; beddelka siyaasadda maxalliga ah ee mishiin ku xiran domain waa imtixaan, ma aha hagaajin.

Sii xuquuqda ugu cidhiidhisan ee ku habboon

Jawaabta caadiga ah waa kooxda Remote Desktop Users ee bartilmaameedka. Waxay si caadi ah u qaaddaa xuquuqda, way ka yar tahay Administrators, waxayna kala saartaa «waa u furan karaa desktop» iyo «waa maamuli karaa serverka». Meesha siyaasaddu si cad u qaybisay xuquuqda, ku dar kooxda ama akoonka siyaasaddaas halkii aad ku dari lahayd koox aan qofna u qoondeynin xakamaynta gelitaanka.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Hubi liiska diidmada ka hor intaadan wax ku darin. Haddii xuquuqda diidmadu magacawdo koox ay isticmaalahu ku jirto, isbeddelka saxda ah waa in akoonka laga saaro kooxdaas ama diidmada la cidhiidhiyo, ma aha in meel kale oggolaansho labaad lagu daro. Qor xuquuqda aad beddeshay iyo halka, sababtoo ah cusboonaysiinta GPO dambe ayaa si aamusan u soo celin doonta xaaladdii hore oo tikitku wuxuu dib u furmi doonaa isla fariintaas.

Hayso wadada shabakadda go’aan gooni ah

Kooxda VPN uma baahna inay gaarto deked kasta. Marka kooxdu u baahan tahay codsi oo aan u baahnayn desktop, qaanuunka firewall ee ku xaddidan barkada tunnel-ka iyo dekedda codsiga ayaa siyaasaddaas dhaqan geliya, halka xuquuqda galitaanku aan taaban.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Qaabeynta OpenVPN ee macmiil kasta iyo fasaxyada kooxda Access Server waxay si la mid ah u xaddidi karaan horudhacyada bartilmaameedka; midkoodna ma siiyo xuquuq galitaan Windows, xuquuqda galitaanna ma furi karto deked. Ku hay fadhiyada isbeddelka ee gooni ah, sababtoo ah qaanuunka dekedda iyo xuquuqda waxaa ansixiya dad kala duwan.

Xaqiiji isla nidaamka ay iriduhu shaqeeyaan: akoonku ma dhisi karaa tunnel-ka, fadhigu ma gaartaa dhageystaha, macmiilku ma xaqiijiyaa, akoonkuna ma leeyahay xuquuqda. Ping fashilma halka imtixaanka dekeddu guulaysto waa firewall si kale uga jawaaba ICMP, ma aha caddayn in RDP xanniban yahay. Tixraaca Microsoft ee xuquuqda galitaanka waxay taxaysaa caadiga ah ee doorka mishiin kasta iyo qaanuunka diidmadu ka sarreyso oggolaanshaha.