Ufikiaji wa VPN bila haki za eneo-kazi la mbali: lango nne tofauti

Mtumiaji anajiunga na VPN, anafungua sehemu ya faili na programu ya ndani, kisha jaribio la RDP linarudisha «akaunti ya mtumiaji haijaidhinishwa kwa kuingia kwa mbali». Katika ujumbe huo hakuna kitu kibaya kuhusu handaki. Lango nne huru zinasimama kati ya akaunti ya VPN na eneo-kazi shirikishi, na ni la mwisho pekee lililozalisha hilo. Watu kwa kawaida hujibu kwa kuongeza akaunti kwenye Administrators, jambo ambalo hutoa mengi zaidi kuliko eneo-kazi na haitatuzi lango ikiwa sera ya kikundi inakataa. Hii hapa ni kile kila lango hufanya kwa kweli, na jinsi ya kubadilisha lile linalokataa pekee.

Lango nne katika mpangilio maalum

Lango kwanza huamua kama utambulisho unaweza kuanzisha handaki kabisa: sera ya RADIUS, sharti la kikundi, ukaguzi wa cheti, idhini ya Access Server. Kisha uelekezaji na firewall huamua kama pakiti kutoka bwawa la handaki inafikia msikilizaji wa TCP 3389 wa lengo. Kisha makubaliano ya NLA ya mteja huthibitisha akaunti dhidi ya lengo. Ni baada ya hizo tatu tu ambapo mamlaka ya usalama ya ndani hukagua kama akaunti ina haki ya kuingia inayohitajika na kipindi cha mbali shirikishi.

Kwa kuwa mpangilio ni maalum, kila lango huficha yale yaliyo nyuma yake. Handaki lililoshindwa halisemi chochote kuhusu uelekezaji; lango lililozuiwa halisemi chochote kuhusu haki ya kuingia; jaribio la lango lililofanikiwa halisemi chochote kuhusu kukubaliwa. Ndiyo sababu «VPN inafanya kazi lakini RDP haifanyi» si tatizo moja bali mpaka kati ya mawili ya lango hizi, na ndiyo sababu maandishi ya hitilafu ni njia ya haraka zaidi ya kujua uliyokutana nayo.

Haki inayokataa kipindi kwa kweli

Kuingia kwenye eneo-kazi la mbali kunahitaji haki ya mtumiaji Ruhusu kuingia kupitia Huduma za Eneo-kazi la Mbali, yaani SeRemoteInteractiveLogonRight. Hukaguliwa wakati wa kuingia, si wakati wa kuanzisha handaki, ndiyo sababu akaunti inaweza kuzunguka mtandaoni kwa masaa na bado ikanyimwa eneo-kazi. Mazungumzo yanayoidhihirisha yako chini ya Sera za Ndani, Ugawaji wa Haki za Mtumiaji, na kifanani cha kikoa kiko kwenye GPO.

Uanachama wa kawaida hutegemea jukumu la mashine: vituo vya kazi na seva wanachama hutoa kwa Administrators na Remote Desktop Users, wakati kidhibiti cha kikoa hutoa kwa Administrators pekee. Ukweli huo mmoja unaeleza mkanganyiko mwingi, kwa sababu akaunti hiyo hiyo hufanikiwa kwenye seva ya faili na kushindwa kwenye DC. Haki ya kukataa hushinda haki ya kuruhusu inayolingana bila kujali uanachama wa kikundi, kwa hiyo akaunti iliyoruhusiwa na kukataliwa kwa wakati mmoja inakataliwa. Kundi pana la kukataa linaweza kumnasa msimamizi aliyeongezwa kama hisani.

Soma sera inayotumika, si mazungumzo ya ndani

Sera ya ndani hubatilishwa na GPO yoyote ya kikoa inayofafanua haki hiyo hiyo, kwa hiyo snap-in ya ndani inaweza kuonyesha orodha inayoonekana sahihi wakati hali inayotumika ni tofauti. Hamisha kile mashine inatumia kwa kweli, kisha tafuta haki na usome SID badala ya majina yanayoonyeshwa:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Katika matokeo hayo, *S-1-5-32-544 ni Administrators na *S-1-5-32-555 ni Remote Desktop Users.

Ikiwa hakuna hata moja inayoonekana, hakuna mtu isipokuwa mmiliki wa sera anayeweza kufungua eneo-kazi, chochote mazungumzo ya ndani ya Watumiaji na Vikundi yanapendekeza. Kisha gpresult hutaja GPO iliyoshinda, na hicho ni kitu unachopaswa kuhariri; kubadilisha sera ya ndani kwenye mashine iliyounganishwa na kikoa ni jaribio, si marekebisho.

Toa haki jembamba inayofaa

Jibu la kawaida ni kundi la Remote Desktop Users kwenye lengo. Hubeba haki kwa msingi, ni dogo zaidi kuliko Administrators, na hutenganisha «anaweza kufungua eneo-kazi» na «anaweza kusimamia seva». Pale sera ilipogawa upya haki kwa uwazi, ongeza kundi au akaunti kwenye sera hiyo badala ya kuongeza kundi ambalo hakuna aliyekusudia kuwa udhibiti wa ufikiaji.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Kagua orodha ya kukataa kabla ya kuongeza chochote. Ikiwa haki ya kukataa inataja kundi lililo na mtumiaji, mabadiliko sahihi ni kuondoa akaunti kwenye kundi hilo au kupunguza ukubwa wa kukataa, si kuongeza idhini ya pili mahali pengine. Andika haki uliyobadilisha na wapi, kwa sababu uboreshaji wa GPO baadaye utarejesha hali ya awali kwa kimya na tiketi itafunguka tena na ujumbe huo huo.

Weka njia ya mtandao kama uamuzi tofauti

Kundi la VPN halihitaji kufikia kila lango. Wakati kundi linahitaji programu na si eneo-kazi, kanuni ya firewall iliyowekewa mipaka kwa bwawa la handaki na lango la programu huiwezesha sera hiyo, wakati haki ya kuingia inabaki bila kuguswa.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Usanidi wa OpenVPN kwa kila mteja na ruhusa za kundi za Access Server zinaweza kupunguza viambishi vya lengo kwa roho hiyo hiyo; hakuna hata moja inayotoa haki ya kuingia Windows, na haki ya kuingia haiwezi kufungua lango. Ziweke kwenye madirisha tofauti ya mabadiliko, kwa sababu kanuni ya lango na haki huzidhinishwa na watu tofauti.

Thibitisha kwa mpangilio ule ule ambao lango zinatumika: akaunti inaweza kuanzisha handaki, kipindi kinafikia msikilizaji, mteja anathibitisha, na akaunti ina haki. Ping inayoshindwa wakati jaribio la lango linafanikiwa ni firewall inayojibu tofauti kwa ICMP, si uthibitisho kwamba RDP imezuiwa. Marejeo ya Microsoft kuhusu haki ya kuingia yanaorodhesha msingi kwa jukumu la mashine na kanuni kwamba kukataa hushinda kuruhusu.