Shtimi i një rregulli lejeje për RDP nuk e ngushton aksesin tuaj VPN

Plani tingëllon i arsyeshëm: lini lejen ekzistuese për Desktopin në distancë ashtu si është dhe shtoni një të vogël për klientin e vetëm VPN që duhet të ketë akses. Windows Firewall nuk funksionon kështu. Rregullat nuk janë një listë e renditur ku fiton hyrja më specifike, dhe një leje e ngushtë pranë një lejeje të gjerë nuk ndryshon asgjë, sepse ajo e gjerë vazhdon të pranojë të gjithë ata që pranonte më parë. Ngushtimi i shërbimit do të thotë të redaktoni lejen që tashmë e bën punën.

Rregulli që shtoni nuk është rregulli që ka rëndësi

Windows Firewall vlerëson të gjitha rregullat hyrëse të zbatueshme në depozitat e politikave që zbatohen për makinën, pastaj vendos nëse ndonjë leje përputhet dhe nëse ndonjë bllokim e anulon atë. Shtimi i një rregulli shton një leje; nuk heq dhe nuk specifikon lejet që ekzistojnë tashmë.

Pra pyetja nuk është kurrë çfarë shtuat. Është çfarë përmban politika efektive pasi politika lokale, politika e domenit dhe vlerat e paracaktuara të profilit bashkohen. Një stacion pune me një rregull lokal është i lehtë për t'u menduar; një server i bashkuar me një domen nuk është.

Prandaj një administrator mund të bëjë një ndryshim që duket i saktë, ta testojë nga makina e gabuar dhe të arrijë në përfundimin se funksionoi. Burimi i përjashtuar nuk u testua kurrë. Një test që dëshmon vetëm suksesin dëshmon më pak se gjysmën e asaj për të cilën ishte bërë ndryshimi.

Zbuloni cilën adresë sheh serveri

Përpara se të kufizoni ndonjë gjë, vëzhgoni një sesion të lejuar në hostin Windows dhe shënoni adresën e burimit që raporton serveri. Nuk është gjithmonë adresa që klienti mendon se ka.

Nëse porta VPN i ruan adresat e klientëve, serveri sheh adresën e tunelit të klientit, dhe një rregull i kufizuar nga adresa ka kuptim. Nëse porta përkthen, çdo klient vjen si adresa e portës, dhe kufizimi në atë adresë i jep akses çdo klienti pas saj. Atëherë rregulli është i saktë për gjënë e gabuar.

Këto dy dizajne kërkojnë përgjigje të ndryshme. I pari mund të shprehet në një rregull firewalls; i dyti duhet të zbatohet atje ku identiteti ekziston ende, domethënë në vetë VPN ose në një portë të vërtetuar përpara shërbimit.

Një filtër firewalls nuk mund të rikuperojë një identitet që përkthimi i rrjetit e hodhi poshtë, sado me kujdes të jetë shtypur adresa.

Ndryshoni pronarin e rregullit efektiv

Inspektoni politikën hyrëse efektive dhe gjeni çdo rregull që aktualisht lejon trafikun RDP, duke përfshirë rregullat emri i shfaqur i të cilave nuk përmend kurrë portën 3389. Numërohen edhe rregullat e kufizuara sipas shërbimit dhe aplikacionit, si dhe transporti UDP që disa instalime RDP e aktivizojnë.

Pastaj redaktoni rregullat ekzistuese përmes depozitës që i zotëron ato. Një redaktim lokal i një rregulli që përcaktohet edhe nga politika e domenit mund të bashkohet, të injorohet ose të mbishkruhet, dhe ia vlen të dini cila nga këto ndodh përpara se të mbështeteni tek ai.

Këto komanda gjejnë rregullat aktive, shfaqin filtrin e adresave të lidhur me një prej tyre dhe paraafishojnë një ndryshim të shtrirjes:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Emrat e rregullave këtu janë zëvendësues për atë që gjeti rishikimi, dhe flamuri i paraafishimit ekziston që një gabim shtypi në një adresë të mos ju mbyllë jashtë serverit që po redaktoni.

Fillimisht blloko, pastaj lejo është një model tjetër

Zakoni nga firewallt e tjerë është të shkruani një bllokim të gjerë dhe pastaj një leje të ngushtë mbi të. Në Windows një bllokim i shprehur zakonisht fiton mbi një leje, pra ai rend prodhon një shërbim që askush nuk mund ta arrijë në vend të një përjashtimi për një klient. Rezultati është një ndërprerje që duket si një shërbim RDP i prishur. Në të vërtetë është një gabim përparësie, dhe rregullimi është të hiqni bllokimin në vend që të shtoni një leje tjetër.

Mbani sjelljen e paracaktuar të bllokimit hyrës në profilet aktive dhe në vend të kësaj ngushtoni lejet specifike. Kjo e lë makinën me një qëndrim të kuptueshëm në vend të dy rregullave kontradiktore, ndërveprimi i të cilave varet nga detajet e përparësisë.

Provoni me një burim të dytë

Testoni nga klienti i lejuar dhe nga një burim që tani duhet të dështojë. Një lidhje e vetme e suksesshme dëshmon vetëm se rruga e lejuar funksionon; nuk thotë asgjë për përjashtimin që sapo bëtë.

Përsëritni testin përmes IPv6 nëse serveri e ka të aktivizuar, sepse një qëllim vetëm për IPv4 mund të bashkëjetojë me një leje të gjerë IPv6 të cilën askush nuk e shikoi.

Së fundi, mbajeni vërtetimin të ndarë nga arritshmëria. Vërtetimi në nivel rrjeti, të drejtat e llogarisë dhe kufizimet e identifikimit ende vendosin kush mund të përdorë sesionin, dhe firewall-i vendos vetëm kush mund të pyesë. Heqja e një pajisjeje më vonë duhet të heqë si regjistrimin e saj në VPN ashtu edhe këtë leje rrjeti, përndryshe adresa që kufizuat do t'i përkasë një ditë dikujt tjetër.