RDP мења клијента: зашто база података види други хост

Ваше правило VPN-а одбија базу података и тикет се затвара као квар заштитног зида, док исти корисник отвара објављену радну површину и без проблема упитује ту базу. Обе тврдње су тачне. Радна површина је други клијент, са сопственом адресом у сегменту коме правила већ верују, и са сопственим идентитетом када се повезује даље. Оно што изгледа као противречно правило обично је други захтев који нико није унео у преглед.

Други захтев има сопствену адресу клијента

Када апликација унутар сесије отвори везу са базом, TCP руковање почиње на хосту сесије. Његова изворна адреса припада мрежи тог хоста, па сваки рутер и заштитни зид базе на путу оцењује сегмент радне површине, а не базен тунела из кога је дошао ваш лаптоп. Адреса VPN-а се никада не појављује у том току. Зато правило забране по извору може бити истовремено тачно и небитно.

Прочитајте порекло унутар сесије, а не са лаптопа, затим тестирајте даљи пут са истог места. Два одговора би требало да се сложе око тога који хост шаље захтев.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Упоредите шта сесија пријављује са адресом коју је база забележила за исти тренутак. Када дневник сервера покаже подмрежу радне површине уместо базена тунела, питање престаје да буде да ли се правило активирало и постаје који хост је послао захтев. То је друга истрага са другим власником.

Идентитет се мења заједно са адресирањем

Даља веза се обично аутентификује као токен сесије, сачувани акредитив или сервисни налог апликације, и ресурс бележи шта му је дато. Зато траг ревизије са сервисним налогом на бази не доказује да је упит извршио човек. Не идентификује ни тог човека. Само дневник сесије радне површине повезује та два записа.

Ауторизација се дешава два пута, а друга одлука се доноси са другим улазима. Прва даје именованом кориснику пријаву на радну површину, док друга даје шта токен тог корисника или налог апликације могу да ураде са ресурсом. Група подршке која сме да отвори радну површину није аутоматски група која сме да чита табелу клијената.

Погледајте токен и пут делегирања пре него што напишете белешку о приступу. Оба су видљива унутар сесије, и то је једино место где одговор није претпоставка.

whoami /groups
klist
query session

Ако апликација користи сервисни налог, даље су важна управо његова права. Ротација тог акредитива припада прегледу приступа, а не каснијој оперативној мисли.

Зашто је директни пут још увек и с правом блокиран

Правило забране није погрешно само зато што се до циља може стићи другим путем. Сегментација се оцењује по извору, а радна површина седи у сегменту који је дозвољен много пре него што је ико почео да га сматра путем ка бази. Ништа није заобишло политику. Политика једноставно описује два различита извора са два различита исхода.

Преглед мора да одговори шта свака овлашћена сесија на том хосту може да покрене. Прегледачи са сачуваним сесијама, мапирани дискови, агенти који држе акредитиве и локално слушајуће услуге све проширују домет радне површине, и ниједно од тога се не појављује у тикету који је дао пријаву. Тај списак је стварна површина дозвола.

Набројте га унутар тест сесије, а не из табеле. Неколико команди покрива већину површине.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Изаберите границу свесно

Три облика одговарају различитим задацима, и избор треба да прати задатак, а не алат који случајно постоји. Објављена апликација излаже један програм са сопственим дозволама, пуна радна површина излаже све што профил корисника може, а уски налог базе са ограничењима извора излаже један ресурс потпуно без радне површине. Најужи облик који још обавља посао је онај који треба документовати. Све шире захтева разлог написан поред.

За један извештај, објављена апликација или ограничен налог је мања дозвола од опште радне површине. За одржавање које заиста захтева неколико алата, радна површина може бити исправна, али тада одобрење описује цео хост, а не једну апликацију. Питајте власника ресурса са којим од тога се слаже.

Кретање података је посебан прекидач. Остава за исечке, преусмеравање дискова и преузимања могу пренети податке компаније до клијента, а покретање апликације на даљину само по себи не задржава податке далеко.

Проверите оба одобрења и пут уклањања

У запис иду два одобрења: право да се стигне до радне површине и да се она отвори, и право да се користе ресурси из њене унутрашњости. Именујте власника за свако и држите друго видљиво за свакога ко прегледа ресурс. Управо о другом уносу ће питати ревизор, јер описује домет, а не улаз. Напишите оба пре него што измена буде одобрена, а не после првог инцидента.

Затим тестирајте уклањање, јер искључена сесија може надживети свој разлог. Табела сесија је најбрже место да се види шта још ради.

query session
query user
qwinsta /server:rdsh01.corp.internal

Искључивање клијента оставља удаљену сесију у раду, а њене мрежне везе и кеширани акредитиви могу остати употребљиви док се та сесија не заврши. Одјавите се или јасно завршите сесију и потврдите да бројач испод престаје да се помера после тога. Тест уклањања који само затвара поклопац лаптопа ништа не доказује. Изведите исти тест једном са онемогућеним налогом и једном са одузетом дозволом за радну површину, па забележите шта је ресурс евидентирао у сваком случају.