RDP கிளையண்டை மாற்றுகிறது: தரவுத்தளம் வேறு ஹோஸ்ட்டைப் பார்ப்பது ஏன்

உங்கள் VPN விதி தரவுத்தளத்தை மறுக்கிறது, டிக்கெட் ஃபயர்வால் பிழையாக மூடப்படுகிறது, அதே நேரத்தில் அதே பயனர் வெளியிடப்பட்ட டெஸ்க்டாப்பைத் திறந்து அந்தத் தரவுத்தளத்தில் எந்தச் சிக்கலும் இல்லாமல் வினவுகிறார். இரண்டு கூற்றுகளும் உண்மை. டெஸ்க்டாப் வேறு கிளையண்ட், விதிகள் ஏற்கனவே நம்பும் பிரிவில் அதன் சொந்த முகவரியுடன், மேலும் தொடர்ந்து இணையும்போது அதன் சொந்த அடையாளத்துடன் உள்ளது. முரண்பட்ட விதிபோல் தோன்றுவது பொதுவாக யாரும் மதிப்பாய்வில் வைக்காத இரண்டாவது கோரிக்கையே.

இரண்டாவது கோரிக்கைக்கு அதன் சொந்த கிளையண்ட் முகவரி உள்ளது

அமர்வுக்குள் உள்ள பயன்பாடு தரவுத்தளத்திற்கு இணைப்பைத் திறக்கும்போது, TCP கைக்குலுக்கல் அமர்வு ஹோஸ்ட்டில் தொடங்குகிறது. அதன் மூல முகவரி அந்த ஹோஸ்ட்டின் நெட்வொர்க்கைச் சேர்ந்தது, எனவே பாதையில் உள்ள ஒவ்வொரு ரவுட்டரும் தரவுத்தள ஃபயர்வாலும் உங்கள் மடிக்கணினி வந்த சுரங்கப்பாதைக் குளத்தை அல்ல, டெஸ்க்டாப்பின் பிரிவை மதிப்பிடுகிறது. அந்த ஓட்டத்தில் VPN முகவரி ஒருபோதும் தோன்றாது. அதனால்தான் மூல அடிப்படையிலான மறுப்பு விதி ஒரே நேரத்தில் சரியாகவும் பொருத்தமற்றதாகவும் இருக்க முடியும்.

மூலத்தை மடிக்கணினியிலிருந்து அல்ல, அமர்வின் உள்ளிருந்து படியுங்கள், பிறகு அதே இடத்திலிருந்து அடுத்த பாதையைச் சோதியுங்கள். எந்த ஹோஸ்ட் கோரிக்கை செய்கிறது என்பதில் இரண்டு பதில்களும் ஒத்துப்போக வேண்டும்.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

அமர்வு தெரிவிப்பதை அதே நேரத்திற்கு தரவுத்தளம் பதிவு செய்த முகவரியுடன் ஒப்பிடுங்கள். சேவையகப் பதிவு சுரங்கப்பாதைக் குளத்திற்குப் பதிலாக டெஸ்க்டாப்பின் துணை வலையத்தைக் காட்டும்போது, கேள்வி விதி இயங்கியதா என்பதிலிருந்து விலகி எந்த ஹோஸ்ட் கோரிக்கை செய்தது என்பதாக மாறுகிறது. அது வேறு உரிமையாளருடன் வேறு விசாரணை.

அடையாளம் முகவரியுடனேயே மாறுகிறது

அடுத்த இணைப்பு பொதுவாக அமர்வு டோக்கன், சேமிக்கப்பட்ட சான்று அல்லது பயன்பாட்டின் சேவைக் கணக்காக அங்கீகரிக்கப்படுகிறது, வளம் தனக்கு வழங்கியதைப் பதிவு செய்கிறது. எனவே தரவுத்தளத்தில் சேவைக் கணக்கைக் காட்டும் தணிக்கைத் தடம் ஒரு மனிதர் வினவலை இயக்கினார் என்பதை நிரூபிக்காது. அந்த மனிதரையும் அடையாளம் காட்டாது. டெஸ்க்டாப்பின் சொந்த அமர்வுப் பதிவே அந்த இரண்டு பதிவுகளையும் இணைக்கிறது.

அங்கீகாரம் இரண்டு முறை நடக்கிறது, இரண்டாவது முடிவு வேறு உள்ளீடுகளுடன் எடுக்கப்படுகிறது. முதலாவது பெயரிடப்பட்ட பயனருக்கு டெஸ்க்டாப் உள்நுழைவை வழங்குகிறது, இரண்டாவது அந்தப் பயனரின் டோக்கன் அல்லது பயன்பாட்டின் கணக்கு வளத்துடன் என்ன செய்யலாம் என்பதை வழங்குகிறது. டெஸ்க்டாப்பைத் திறக்கக்கூடிய உதவி மேசைக் குழு தானாகவே வாடிக்கையாளர் அட்டவணையைப் படிக்கக்கூடிய குழு அல்ல.

அணுகல் குறிப்பை எழுதும் முன் டோக்கனையும் பிரதிநிதித்துவப் பாதையையும் பாருங்கள். இரண்டும் அமர்வின் உள்ளிருந்து தெரியும், பதில் ஊகமல்லாத ஒரே இடம் அதுவே.

whoami /groups
klist
query session

பயன்பாடு சேவைக் கணக்கைப் பயன்படுத்தினால், மேலும் முக்கியமானது அதன் உரிமைகளே. அந்தச் சான்றைச் சுழற்றுவது அணுகல் மதிப்பாய்வின் பகுதி, பிற்கால செயல்பாட்டுச் சிந்தனை அல்ல.

நேரடிப் பாதை இன்னும் ஏன் சரியாகவே தடுக்கப்பட்டுள்ளது

இலக்கை வேறு வழியில் அடைய முடியும் என்பதால் மட்டும் மறுப்பு விதி தவறில்லை. பிரிவினை ஒவ்வொரு மூலத்திற்கும் மதிப்பிடப்படுகிறது, டெஸ்க்டாப் யாரோ அதைத் தரவுத்தளத்திற்கான பாதையாக நினைப்பதற்கு முன்பே அனுமதிக்கப்பட்ட பிரிவில் அமைந்துள்ளது. எதுவும் கொள்கையைத் தவிர்க்கவில்லை. கொள்கை இரண்டு வெவ்வேறு முடிவுகளுடன் இரண்டு வெவ்வேறு மூலங்களை விவரிக்கிறது.

மதிப்பாய்வு பதிலளிக்க வேண்டியது, அந்த ஹோஸ்ட்டில் ஒவ்வொரு அங்கீகரிக்கப்பட்ட அமர்வும் என்ன தொடங்கலாம் என்பதே. சேமிக்கப்பட்ட அமர்வுகள் கொண்ட உலாவிகள், இணைக்கப்பட்ட இயக்கிகள், சான்றுகளை வைத்திருக்கும் முகவர்கள், உள்ளூராகக் கேட்கும் சேவைகள் அனைத்தும் டெஸ்க்டாப்பின் அணுகலை விரிவாக்குகின்றன, அவற்றில் எதுவும் உள்நுழைவை வழங்கிய டிக்கெட்டில் தோன்றுவதில்லை. அந்தப் பட்டியலே உண்மையான அனுமதி மேற்பரப்பு.

அதை விரிதாளிலிருந்து அல்ல, சோதனை அமர்வின் உள்ளிருந்து கணக்கிடுங்கள். சில கட்டளைகள் மேற்பரப்பின் பெரும்பகுதியை உள்ளடக்குகின்றன.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

எல்லையை வேண்டுமென்றே தேர்ந்தெடுங்கள்

மூன்று வடிவங்கள் வெவ்வேறு பணிகளுக்குப் பொருந்துகின்றன, தேர்வு பணியைப் பின்பற்ற வேண்டும், தற்செயலாக உள்ள கருவியை அல்ல. வெளியிடப்பட்ட பயன்பாடு அதன் சொந்த அனுமதிகளுடன் ஒரு நிரலை வெளிப்படுத்துகிறது, முழு டெஸ்க்டாப் பயனர் சுயவிவரம் செய்யக்கூடிய அனைத்தையும் வெளிப்படுத்துகிறது, மூலக் கட்டுப்பாடு கொண்ட குறுகிய தரவுத்தளக் கணக்கு டெஸ்க்டாப் இல்லாமலேயே ஒரு வளத்தை வெளிப்படுத்துகிறது. வேலையை இன்னும் முடிக்கும் மிகக் குறுகிய வடிவமே ஆவணப்படுத்த வேண்டியது. அதைவிட அகலமான எதற்கும் பக்கத்தில் எழுதப்பட்ட காரணம் தேவை.

ஒரு அறிக்கைக்கு, வெளியிடப்பட்ட பயன்பாடு அல்லது வரையறுக்கப்பட்ட கணக்கு பொதுவான டெஸ்க்டாப்பை விடச் சிறிய அனுமதி. உண்மையில் பல கருவிகள் தேவைப்படும் பராமரிப்புக்கு டெஸ்க்டாப் சரியாக இருக்கலாம், ஆனால் அப்போது ஒப்புதல் ஒரு பயன்பாட்டை அல்ல, முழு ஹோஸ்ட்டையும் விவரிக்கிறது. இவற்றில் எதற்கு அவர்கள் ஒப்புக்கொள்கிறார்கள் என்று வள உரிமையாளரிடம் கேளுங்கள்.

தரவு இயக்கம் தனி சுவிட்ச். கிளிப்போர்டு, இயக்கி மறுவழியமைப்பு மற்றும் பதிவிறக்கங்கள் நிறுவனத் தரவைக் கிளையண்டிற்குக் கொண்டு செல்லலாம், பயன்பாட்டைத் தொலைவிலிருந்து இயக்குவது தரவைத் தானாகவே தொலைவில் வைத்திராது.

இரண்டு ஒப்புதல்களையும் அகற்றும் பாதையையும் சரிபாருங்கள்

பதிவில் இரண்டு ஒப்புதல்கள் இடம் பெற வேண்டும்: டெஸ்க்டாப்பை அடைந்து திறக்கும் உரிமை, மற்றும் அதன் உள்ளிருந்து வளங்களைப் பயன்படுத்தும் உரிமை. ஒவ்வொன்றிற்கும் உரிமையாளரைப் பெயரிடுங்கள், இரண்டாவதை வளத்தை மதிப்பாய்வு செய்யும் அனைவருக்கும் தெரியும்படி வைத்திருங்கள். தணிக்கையாளர் கேட்பது அந்த இரண்டாவது பதிவைப் பற்றியே, ஏனெனில் அது நுழைவை அல்ல, அணுகலை விவரிக்கிறது. மாற்றம் ஒப்புதல் பெறுவதற்கு முன் இரண்டையும் எழுதுங்கள், முதல் சம்பவத்திற்குப் பிறகு அல்ல.

பிறகு அகற்றலைச் சோதியுங்கள், ஏனெனில் துண்டிக்கப்பட்ட அமர்வு அதன் காரணத்தை விட நீண்ட காலம் வாழலாம். அமர்வு அட்டவணை இன்னும் என்ன இயங்குகிறது என்பதைப் பார்க்க வேகமான இடம்.

query session
query user
qwinsta /server:rdsh01.corp.internal

கிளையண்டைத் துண்டிப்பது தொலை அமர்வை இயங்கவே வைக்கும், அதன் நெட்வொர்க் இணைப்புகளும் தற்காலிகச் சான்றுகளும் அந்த அமர்வு முடியும் வரை பயன்படுத்தக்கூடியதாக இருக்கலாம். வெளியேறுங்கள், அல்லது அமர்வை வெளிப்படையாக முடியுங்கள், பிறகு கீழேயுள்ள கணக்கி முன்னேறுவதை நிறுத்துகிறதா என்பதை உறுதிப்படுத்துங்கள். மடிக்கணினி மூடியை மட்டும் மூடும் அகற்றல் சோதனை எதையும் நிரூபிக்காது. அதே சோதனையை ஒரு முறை கணக்கை முடக்கி, ஒரு முறை டெஸ்க்டாப் அனுமதியை நீக்கி நடத்துங்கள், பிறகு ஒவ்வொரு நிலையிலும் வளம் என்ன பதிவு செய்தது என்பதை எழுதுங்கள்.