Приступ VPN-у без права на удаљени радни сто: четири одвојене капије

Корисник се повезује на VPN, отвара дељену фасциклу и интерну апликацију, а затим покушај RDP-а враћа „кориснички налог није овлашћен за удаљену пријаву“. У тој поруци ништа није погрешно у вези са тунелом. Између VPN налога и интерактивне радне површине стоје четири независне капије, а само последња га је произвела. Људи обично реагују додавањем налога у Administrators, што даје много више од радне површине и не поправља капију ако је групна политика забрањује. Ево шта свака капија заиста ради и како променити само ону која одбија.

Четири капије у фиксном редоследу

Капија прво одлучује да ли идентитет уопште може да успостави тунел: RADIUS политика, услов групе, провера сертификата, дозвола Access Server-а. Затим рутирање и firewall-ови одлучују да ли пакет из базена тунела стиже до TCP 3389 слушаоца одредишта. Затим NLA руковање клијента аутентификује налог према одредишту. Тек после тих три, локални безбедносни орган проверава да ли налог има право пријаве које захтева интерактивна удаљена сесија.

Пошто је редослед фиксан, свака капија скрива оне иза себе. Неуспешан тунел не говори ништа о рутирању; блокиран порт не говори ништа о праву пријаве; успешан тест порта не говори ништа о пријему. Зато „VPN ради, али RDP не“ није један проблем већ граница између две од ових капија, и зато је текст грешке најбржи начин да сазнате на коју сте наишли.

Право које заиста одбија сесију

Пријава на удаљену радну површину захтева корисничко право Дозволи пријаву преко услуга удаљене радне површине, SeRemoteInteractiveLogonRight. Оно се проверава при пријави, не при постављању тунела, зато налог може сатима да лута мрежом и ипак му буде одбијена радна површина. Дијалог који га приказује налази се у Локалне политике, Додељивање корисничких права, а доменски еквивалент је у GPO-у.

Подразумевано чланство зависи од улоге машине: радне станице и сервери чланови га дају Administrators и Remote Desktop Users, док контролер домена само Administrators. Та једна чињеница објашњава већину забуне, јер исти налог успева на серверу датотека, а не успева на DC-у. Право одбијања побеђује одговарајуће право дозволе без обзира на чланство у групи, тако да налог који има и дозволу и одбијање бива одбијен. Широка група одбијања може да ухвати администратора додатог из услужности.

Читајте важећу политику, не локални дијалог

Локалну политику преписује сваки доменски GPO који дефинише исто право, тако да локални snap-in може приказивати списак који изгледа исправно док је стварно стање другачије. Извезите шта машина заиста примењује, затим пронађите право и читајте SID-ове уместо приказаних имена:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

У том излазу *S-1-5-32-544 је Administrators, а *S-1-5-32-555 је Remote Desktop Users.

Ако се не појави ниједно, нико осим власника политике не може да отвори радну површину, шта год локални дијалог за кориснике и групе предлагао. Тада gpresult именује GPO која је победила, и то је објекат који треба да уредите; промена локалне политике на машини прикљученој на домен је тест, не поправка.

Доделите најтешње право које одговара

Уобичајен одговор је група Remote Desktop Users на одредишту. Она носи право по подразумеваном, много је мања од Administrators и одваја „може да отвори радну површину“ од „може да управља сервером“. Тамо где је политика изричито прерасподелила право, додајте групу или налог тој политици уместо да додате групу коју нико није замислио као контролу приступа.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Проверите списак одбијања пре него што било шта додате. Ако право одбијања именује групу која садржи корисника, исправна промена је уклањање налога из те групе или сужавање одбијања, а не додавање друге дозволе другде. Запишите које право и где сте променили, јер ће касније освежавање GPO-а тихо вратити претходно стање и тикет ће се поново отворити са истом поруком.

Држите мрежни пут као одвојену одлуку

VPN група не мора да стигне до сваког порта. Када групи треба апликација, а не радна површина, правило firewall-а ограничено на базен тунела и порт апликације даје ефекат тој политици, док право пријаве остаје нетакнуто.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Сопствена конфигурација OpenVPN-а по клијенту и дозволе група Access Server-а могу у истом духу да ограниче префиксе одредишта; ниједно од њих не даје право пријаве у Windows-у, а право пријаве не може да отвори порт. Држите их у одвојеним прозорима за промене, јер правило порта и право одобравају различити људи.

Проверавајте истим редом којим капије важе: може ли налог да успостави тунел, стиже ли сесија до слушаоца, аутентификује ли се клијент и има ли налог право. Ping који не успева док тест порта успева је firewall који другачије одговара на ICMP, а не доказ да је RDP блокиран. Microsoft-ова референца о праву пријаве наводи подразумеване вредности по улози машине и правило да одбијање побеђује дозволу.