Kuongeza sheria ya idhini ya RDP hupunguzi ufikiaji wako wa VPN

Mpango huo unasikika kuwa wa busara: acha idhini iliyopo ya Eneo-kazi la Mbali kama ilivyo na uongeze ndogo kwa mteja pekee wa VPN anayepaswa kuwa na ufikiaji. Windows Firewall haifanyi kazi hivyo. Sheria si orodha iliyopangwa ambapo ingizo maalum zaidi linashinda, na idhini nyembamba kando ya pana haibadilishi chochote, kwa sababu ile pana inaendelea kuwaruhusu wote iliyokuwa ikiwaruhusu. Kupunguza huduma kunamaanisha kuhariri idhini ambayo tayari inafanya kazi hiyo.

Sheria unayoongeza si sheria muhimu

Windows Firewall hutathmini sheria zote za kuingia zinazotumika katika ghala za sera zinazohusu mashine, kisha huamua kama idhini yoyote inalingana na kama kizuizi chochote kinaipitisha. Kuongeza sheria huongeza idhini; haiondoi au haifafanui idhini zilizopo tayari.

Kwa hiyo swali kamwe si kile ulichoongeza. Ni sera inayotumika ina nini baada ya sera ya ndani, sera ya kikoa na chaguo-msingi za wasifu kuunganishwa. Kituo cha kazi chenye sheria moja ya ndani ni rahisi kufikiri; seva iliyounganishwa na kikoa si rahisi.

Ndiyo sababu msimamizi anaweza kufanya mabadiliko yanayoonekana sahihi, kuyajaribu kutoka mashine isiyo sahihi na kuhitimisha kwamba yalifanya kazi. Chanzo kilichotengwa hakijajaribiwa kamwe. Jaribio linalothibitisha mafanikio pekee huthibitisha chini ya nusu ya kile mabadiliko yalikusudiwa.

Gundua anwani ambayo seva inaiona

Kabla ya kuweka mipaka yoyote, angalia kipindi kimoja kilichoruhusiwa kwenye mwenyeji wa Windows na uandike anwani ya chanzo ambayo seva inaripoti. Si kila wakati ni anwani ambayo mteja anadhani anayo.

Ikiwa lango la VPN huhifadhi anwani za wateja, seva inaona anwani ya handaki ya mteja, na sheria iliyowekewa mipaka kwa anwani ina maana. Ikiwa lango hutafsiri, kila mteja huja kama anwani ya lango, na kuweka mipaka kwa anwani hiyo kunampa ufikiaji kila mteja aliye nyuma yake. Wakati huo sheria ni sahihi kuhusu kitu kisichofaa.

Miundo hii miwili inahitaji majibu tofauti. Ya kwanza inaweza kuonyeshwa katika sheria ya firewall; ya pili lazima itekelezwe mahali ambapo utambulisho bado upo, yaani katika VPN yenyewe au katika lango lililothibitishwa mbele ya huduma.

Kichujio cha firewall hakiwezi kurejesha utambulisho ambao tafsiri ya mtandao iliutupa, hata anwani iandikwe kwa uangalifu kiasi gani.

Badilisha mmiliki wa sheria inayotumika

Kagua sera ya kuingia inayotumika na utafute kila sheria inayoruhusu trafiki ya RDP kwa sasa, ikiwa ni pamoja na sheria ambazo jina lake linaloonyeshwa halitaji kamwe mlango wa 3389. Sheria zilizowekewa mipaka kwa huduma na kwa programu pia zinahesabiwa, na vilevile usafirishaji wa UDP ambao baadhi ya miwekaji ya RDP huwezesha.

Kisha hariri sheria zilizopo kupitia ghala linalozimiliki. Uhariri wa ndani wa sheria ambayo sera ya kikoa pia inaifafanua unaweza kuunganishwa, kupuuzwa au kuandikwa juu, na inafaa kujua ni ipi kati ya hizi hutokea kabla ya kuitegemea.

Amri hizi hupata sheria zinazotumika, huonyesha kichujio cha anwani kilichounganishwa na moja yao na kuonyesha hakikisho la mabadiliko ya wigo:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Majina ya sheria hapa ni vielekezi vya kile ukaguzi uligundua, na bendera ya hakikisho ipo ili makosa ya kuandika katika anwani yasikufungie nje ya seva unayohariri.

Kwanza zuia kisha ruhusu ni mtindo tofauti

Tabia kutoka firewall nyingine ni kuandika kizuizi pana na kisha idhini nyembamba juu yake. Katika Windows kizuizi kilicho wazi kwa kawaida hushinda idhini, kwa hiyo mpangilio huo huzalisha huduma ambayo hakuna mtu anayeweza kuifikia badala ya msamaha kwa mteja mmoja. Matokeo ni kukatika kunakoonekana kama huduma ya RDP iliyovunjika. Kwa kweli ni kosa la kipaumbele, na suluhisho ni kuondoa kizuizi badala ya kuongeza idhini nyingine.

Weka tabia chaguo-msingi ya kuzuia kuingia kwenye wasifu unaotumika na badala yake punguza idhini mahususi. Hiyo huiacha mashine na msimamo mmoja unaoeleweka badala ya sheria mbili zinazopingana ambazo mwingiliano wake unategemea maelezo ya kipaumbele.

Thibitisha kwa chanzo cha pili

Jaribu kutoka kwa mteja aliyeruhusiwa na kutoka chanzo ambacho sasa kinapaswa kushindwa. Muunganisho mmoja uliofaulu huthibitisha tu kwamba njia iliyoruhusiwa inafanya kazi; haisemi chochote kuhusu kutengwa ulikofanya hivi punde.

Rudia jaribio kwa IPv6 ikiwa seva imeiwezesha, kwa sababu nia ya IPv4 pekee inaweza kuishi pamoja na idhini pana ya IPv6 ambayo hakuna mtu aliyiangalia.

Mwishowe, weka uthibitishaji kando na ufikikaji. Uthibitishaji wa kiwango cha mtandao, haki za akaunti na vikwazo vya kuingia bado huamua nani anaweza kutumia kipindi, na firewall huamua tu nani anaweza kuuliza. Kuondoa kifaa baadaye kunapaswa kuondoa usajili wake wa VPN na idhini hii ya mtandao, vinginevyo anwani uliyowekewa mipaka itakuwa ya mtu mwingine siku moja.