ரிமோட் டெஸ்க்டாப் உரிமைகள் இல்லாமல் VPN அணுகல்: நான்கு தனி வாயில்கள்

ஒரு பயனர் VPN உடன் இணைந்து, கோப்பு பங்கீடு மற்றும் உள் பயன்பாட்டைத் திறந்து, பின்னர் RDP முயற்சி «பயனர் கணக்கு தொலை உள்நுழைவுக்கு அங்கீகரிக்கப்படவில்லை» என்று திரும்ப அளிக்கிறது. அந்தச் செய்தியில் சுரங்கப்பாதையில் எதுவும் தவறில்லை. VPN கணக்குக்கும் ஊடாடும் டெஸ்க்டாப்புக்கும் இடையே நான்கு தனித்துவமான வாயில்கள் உள்ளன, அதை உருவாக்கியது கடைசி ஒன்று மட்டுமே. மக்கள் பொதுவாக கணக்கை Administrators இல் சேர்ப்பதன் மூலம் பதிலளிக்கிறார்கள், இது டெஸ்க்டாப்பை விட மிக அதிகமாக வழங்குகிறது மற்றும் குழுக் கொள்கை மறுத்தால் வாயிலைச் சரிசெய்யாது. ஒவ்வொரு வாயிலும் உண்மையில் என்ன செய்கிறது, மறுக்கும் வாயிலை மட்டும் எப்படி மாற்றுவது என்பது இங்கே.

நான்கு வாயில்கள் நிலையான வரிசையில்

நுழைவாயில் முதலில் அடையாளம் சுரங்கப்பாதையை உருவாக்க முடியுமா என்பதைத் தீர்மானிக்கிறது: RADIUS கொள்கை, குழு நிபந்தனை, சான்றிதழ் சரிபார்ப்பு, Access Server அனுமதி. பின்னர் வழித்தடம் மற்றும் ஃபயர்வால்கள் சுரங்கக் குளத்திலிருந்து வரும் பொதி இலக்கின் TCP 3389 கேட்பானை அடைகிறதா என்பதைத் தீர்மானிக்கின்றன. பின்னர் வாடிக்கையாளரின் NLA கைக்குலுக்கல் இலக்குக்கு எதிராகக் கணக்கை அங்கீகரிக்கிறது. இந்த மூன்றுக்குப் பின்னரே உள்ளூர் பாதுகாப்பு அதிகாரம் ஊடாடும் தொலை அமர்வுக்குத் தேவையான உள்நுழைவு உரிமை கணக்கிடம் உள்ளதா என்று சரிபார்க்கிறது.

வரிசை நிலையானது என்பதால், ஒவ்வொரு வாயிலும் பின்னால் உள்ளவற்றை மறைக்கிறது. தோல்வியடைந்த சுரங்கப்பாதை வழித்தடம் பற்றி எதுவும் கூறாது; தடுக்கப்பட்ட துறைமுகம் உள்நுழைவு உரிமை பற்றி எதுவும் கூறாது; வெற்றிகரமான துறைமுகச் சோதனை அனுமதி பற்றி எதுவும் கூறாது. அதனால்தான் «VPN வேலை செய்கிறது ஆனால் RDP இல்லை» என்பது ஒரு சிக்கல் அல்ல, இந்த வாயில்களில் இரண்டுக்கு இடையேயான எல்லை, அதனால்தான் பிழை உரை நீங்கள் எதைத் தாக்கினீர்கள் என்பதை அறியும் வேகமான வழி.

அமர்வை உண்மையில் நிராகரிக்கும் உரிமை

தொலை டெஸ்க்டாப்பில் உள்நுழைய பயனர் உரிமை தொலை டெஸ்க்டாப் சேவைகள் வழியாக உள்நுழைவை அனுமதி, அதாவது SeRemoteInteractiveLogonRight தேவை. இது உள்நுழைவின் போது சரிபார்க்கப்படுகிறது, சுரங்கப்பாதை அமைக்கும் போது அல்ல, எனவே ஒரு கணக்கு மணிக்கணக்கில் பிணையத்தில் சுற்றித் திரிந்தாலும் டெஸ்க்டாப் மறுக்கப்படலாம். அதைக் காட்டும் உரையாடல் உள்ளூர் கொள்கைகள், பயனர் உரிமைகள் ஒதுக்கீடு என்பதன் கீழ் உள்ளது, களச் சமன்பாடு GPO இல் உள்ளது.

இயல்புநிலை உறுப்பினர் நிலை இயந்திரத்தின் பங்கைப் பொறுத்தது: பணிநிலையங்களும் உறுப்பினர் சேவையகங்களும் அதை Administrators மற்றும் Remote Desktop Users க்கு வழங்குகின்றன, அதேசமயம் களக் கட்டுப்படுத்தி Administrators க்கு மட்டும் வழங்குகிறது. அந்த ஒரு உண்மை பெரும்பாலான குழப்பத்தை விளக்குகிறது, ஏனெனில் அதே கணக்கு கோப்பு சேவையகத்தில் வெற்றிபெறுகிறது, DC இல் தோல்வியடைகிறது. மறுப்பு உரிமை குழு உறுப்பினர் நிலையைப் பொருட்படுத்தாமல் தொடர்புடைய அனுமதி உரிமையை வெல்லும், எனவே அனுமதியும் மறுப்பும் ஒருசேர உள்ள கணக்கு மறுக்கப்படுகிறது. பரந்த மறுப்புக் குழு உபகாரமாகச் சேர்க்கப்பட்ட நிர்வாகியையும் பிடிக்கலாம்.

செயலில் உள்ள கொள்கையைப் படியுங்கள், உள்ளூர் உரையாடலை அல்ல

உள்ளூர் கொள்கை அதே உரிமையை வரையறுக்கும் எந்தக் கள GPO ஆலும் மேலெழுதப்படுகிறது, எனவே உள்ளூர் snap-in சரியானதாகத் தோன்றும் பட்டியலைக் காட்டலாம், ஆனால் செயலில் உள்ள நிலை வேறுபடும். இயந்திரம் உண்மையில் பயன்படுத்துவதை ஏற்றுமதி செய்து, பின்னர் உரிமையைத் தேடி, காட்டப்படும் பெயர்களுக்குப் பதிலாக SID களைப் படியுங்கள்:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

அந்த வெளியீட்டில் *S-1-5-32-544 என்பது Administrators, *S-1-5-32-555 என்பது Remote Desktop Users.

இரண்டில் எதுவும் தெரியவில்லை என்றால், உள்ளூர் பயனர்கள் மற்றும் குழுக்கள் உரையாடல் எதைப் பரிந்துரைத்தாலும், கொள்கை வைத்திருப்பவரைத் தவிர யாரும் டெஸ்க்டாப்பைத் திறக்க முடியாது. பின்னர் gpresult வெற்றிபெற்ற GPO வைப் பெயரிடுகிறது, அதுவே நீங்கள் திருத்த வேண்டிய பொருள்; களத்துடன் இணைந்த இயந்திரத்தில் உள்ளூர் கொள்கையை மாற்றுவது சோதனை, தீர்வு அல்ல.

பொருந்தும் மிகக் குறுகிய உரிமையை வழங்குங்கள்

வழக்கமான பதில் இலக்கில் உள்ள Remote Desktop Users குழு. இது இயல்பாக உரிமையைக் கொண்டுள்ளது, Administrators ஐ விட மிகச் சிறியது, மேலும் «டெஸ்க்டாப்பைத் திறக்கலாம்» என்பதை «சேவையகத்தை நிர்வகிக்கலாம்» என்பதிலிருந்து பிரிக்கிறது. கொள்கை உரிமையை வெளிப்படையாக மறுஒதுக்கீடு செய்த இடத்தில், யாரும் அணுகல் கட்டுப்பாடாகக் கருதாத குழுவைச் சேர்ப்பதற்குப் பதிலாக அந்தக் குழு அல்லது கணக்கை அந்தக் கொள்கையில் சேர்க்கவும்.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

எதையும் சேர்ப்பதற்கு முன் மறுப்புப் பட்டியலைச் சரிபார்க்கவும். மறுப்பு உரிமை பயனரைக் கொண்ட குழுவைப் பெயரிட்டால், சரியான மாற்றம் கணக்கை அந்தக் குழுவிலிருந்து நீக்குவது அல்லது மறுப்பைக் குறுகலாக்குவது, வேறு இடத்தில் இரண்டாவது அனுமதியைச் சேர்ப்பது அல்ல. எந்த உரிமையை எங்கு மாற்றினீர்கள் என்பதைப் பதிவு செய்யுங்கள், ஏனெனில் பின்னர் GPO புதுப்பிப்பு முந்தைய நிலையை அமைதியாக மீட்டெடுக்கும், டிக்கெட் அதே செய்தியுடன் மீண்டும் திறக்கும்.

பிணையப் பாதையைத் தனி முடிவாக வைத்திருங்கள்

VPN குழு ஒவ்வொரு துறைமுகத்தையும் அடைய வேண்டியதில்லை. ஒரு குழுவுக்கு டெஸ்க்டாப் அல்ல, பயன்பாடு தேவைப்படும்போது, சுரங்கக் குளம் மற்றும் பயன்பாட்டுத் துறைமுகத்துக்கு மட்டுப்படுத்தப்பட்ட ஃபயர்வால் விதி அந்தக் கொள்கையைச் செயல்படுத்துகிறது, உள்நுழைவு உரிமை தொடப்படாமல் இருக்கும்.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN இன் சொந்த வாடிக்கையாளர்-வாரி உள்ளமைவும் Access Server குழு அனுமதிகளும் அதே உணர்வில் இலக்கு முன்னொட்டுகளைக் கட்டுப்படுத்தலாம்; அவை எதுவும் Windows உள்நுழைவு உரிமையை வழங்காது, உள்நுழைவு உரிமையால் துறைமுகத்தைத் திறக்க முடியாது. அவற்றைத் தனி மாற்றச் சாளரங்களில் வைத்திருங்கள், ஏனெனில் துறைமுக விதியும் உரிமையும் வெவ்வேறு நபர்களால் அங்கீகரிக்கப்படுகின்றன.

வாயில்கள் பொருந்தும் அதே வரிசையில் சரிபார்க்கவும்: கணக்கு சுரங்கப்பாதையை உருவாக்க முடியுமா, அமர்வு கேட்பானை அடைகிறதா, வாடிக்கையாளர் அங்கீகரிக்கிறாரா, கணக்கிடம் உரிமை உள்ளதா. துறைமுகச் சோதனை வெற்றிபெறும்போது தோல்வியடையும் ping, ICMP க்கு வேறுவிதமாகப் பதிலளிக்கும் ஃபயர்வால், RDP தடுக்கப்பட்டதற்கான சான்று அல்ல. Microsoft இன் உள்நுழைவு உரிமைக் குறிப்பு இயந்திரப் பங்கின் அடிப்படையில் இயல்புநிலைகளையும் மறுப்பு அனுமதியை வெல்லும் விதியையும் பட்டியலிடுகிறது.