RDP కోసం అనుమతి నియమాన్ని జోడించడం మీ VPN యాక్సెస్ను తగ్గించదు

ప్రణాళిక సమంజసంగా అనిపిస్తుంది: ఉన్న రిమోట్ డెస్క్టాప్ అనుమతిని ఉన్నట్టుగానే ఉంచి, యాక్సెస్ ఉండాల్సిన ఏకైక VPN క్లయింట్ కోసం చిన్న అనుమతిని జోడించండి. Windows Firewall అలా పనిచేయదు. నియమాలు అత్యంత నిర్దిష్ట నమోదు గెలిచే క్రమబద్ధ జాబితా కావు, మరియు విశాలమైన అనుమతి పక్కన ఇరుకైన అనుమతి ఏమీ మార్చదు, ఎందుకంటే విశాలమైనది ఇప్పటికే అనుమతించిన వారందరినీ ఇంకా అనుమతిస్తుంది. సేవను ఇరుకుగా చేయడం అంటే ఇప్పటికే పని చేస్తున్న అనుమతినే సవరించడం.

మీరు జోడించే నియమం ముఖ్యమైన నియమం కాదు

Windows Firewall యంత్రానికి వర్తించే విధాన నిల్వలలోని అన్ని వర్తించే ఇన్బౌండ్ నియమాలను మూల్యాంకనం చేస్తుంది, ఆపై ఏదైనా అనుమతి సరిపోతుందా మరియు ఏదైనా నిరోధం దానిని అధిగమిస్తుందా అని నిర్ణయిస్తుంది. నియమాన్ని జోడించడం అనుమతిని జోడిస్తుంది; ఇప్పటికే ఉన్న అనుమతులను అది తొలగించదు లేదా స్పష్టం చేయదు.

కాబట్టి ప్రశ్న ఎప్పుడూ మీరు ఏమి జోడించారు అని కాదు. ప్రశ్న ఏమిటంటే, స్థానిక విధానం, డొమైన్ విధానం మరియు ప్రొఫైల్ డిఫాల్ట్లు విలీనమైన తర్వాత ప్రభావవంతమైన విధానంలో ఏమి ఉంది అని. ఒక స్థానిక నియమం ఉన్న వర్క్స్టేషన్ గురించి ఆలోచించడం సులభం; డొమైన్కు చేరిన సర్వర్ గురించి కాదు.

అందుకే నిర్వాహకుడు సరైనదిగా కనిపించే మార్పు చేసి, దానిని తప్పు యంత్రం నుండి పరీక్షించి, అది పనిచేసిందని నిర్ణయించవచ్చు. మినహాయించిన మూలం ఎప్పుడూ పరీక్షించబడలేదు. విజయాన్ని మాత్రమే నిరూపించే పరీక్ష మార్పు ఉద్దేశంలో సగం కంటే తక్కువను నిరూపిస్తుంది.

సర్వర్ ఏ చిరునామాను చూస్తుందో కనుగొనండి

ఏదైనా పరిమితం చేయడానికి ముందు Windows హోస్ట్లో ఒక అనుమతించిన సెషన్ను గమనించి, సర్వర్ నివేదించే మూల చిరునామాను నమోదు చేయండి. అది క్లయింట్ తన దగ్గర ఉందని భావించే చిరునామా ఎప్పుడూ కాదు.

VPN గేట్వే క్లయింట్ చిరునామాలను భద్రపరిస్తే, సర్వర్ క్లయింట్ టన్నెల్ చిరునామాను చూస్తుంది, చిరునామా ద్వారా పరిమితం చేసిన నియమం అర్థవంతంగా ఉంటుంది. గేట్వే అనువదిస్తే, ప్రతి క్లయింట్ గేట్వే చిరునామాగా వస్తుంది, ఆ చిరునామాకు పరిమితం చేయడం దాని వెనుక ఉన్న ప్రతి క్లయింట్కు యాక్సెస్ ఇస్తుంది. అప్పుడు నియమం తప్పు విషయం గురించి ఖచ్చితంగా ఉంటుంది.

ఈ రెండు డిజైన్లకు వేర్వేరు సమాధానాలు కావాలి. మొదటిది ఫైర్వాల్ నియమంలో వ్యక్తపరచవచ్చు; రెండవది గుర్తింపు ఇంకా ఉన్న చోట, అంటే VPN లోనే లేదా సేవ ముందు ఉన్న ధృవీకరించిన గేట్వేలో అమలు చేయాలి.

నెట్వర్క్ అనువాదం పారేసిన గుర్తింపును ఫైర్వాల్ ఫిల్టర్ తిరిగి తీసుకురాలేదు, చిరునామా ఎంత జాగ్రత్తగా టైప్ చేసినా.

ప్రభావవంతమైన నియమం యజమానిని మార్చండి

ప్రభావవంతమైన ఇన్బౌండ్ విధానాన్ని పరిశీలించి, ప్రస్తుతం RDP ట్రాఫిక్ను అనుమతించే ప్రతి నియమాన్ని కనుగొనండి, ప్రదర్శిత పేరులో ఎప్పుడూ పోర్ట్ 3389 ప్రస్తావించని నియమాలతో సహా. సేవ మరియు అప్లికేషన్ ద్వారా పరిమితం చేసిన నియమాలు కూడా లెక్కించబడతాయి, కొన్ని RDP అమరికలు ప్రారంభించే UDP రవాణా కూడా.

తర్వాత ఉన్న నియమాలను వాటిని కలిగి ఉన్న నిల్వ ద్వారా సవరించండి. డొమైన్ విధానం కూడా నిర్వచించే నియమంలో స్థానిక సవరణ విలీనం కావచ్చు, నిర్లక్ష్యం చేయబడవచ్చు లేదా పైన రాయబడవచ్చు, దానిపై ఆధారపడే ముందు ఇవి ఏది జరుగుతుందో తెలుసుకోవడం విలువైనది.

ఈ ఆదేశాలు సక్రియ నియమాలను కనుగొంటాయి, వాటిలో ఒకదానికి జోడించిన చిరునామా ఫిల్టర్ను చూపుతాయి మరియు పరిధి మార్పును ముందుగా చూపుతాయి:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

ఇక్కడ నియమాల పేర్లు సమీక్ష కనుగొన్న దానికి ప్లేస్హోల్డర్లు, మరియు ముందుగా చూపే జెండా చిరునామాలోని టైపో మీరు సవరిస్తున్న సర్వర్ నుండి మిమ్మల్ని లాక్ చేయకుండా ఉండటానికి ఉంది.

మొదట నిరోధించి తర్వాత అనుమతించడం వేరే నమూనా

ఇతర ఫైర్వాల్ల అలవాటు విశాలమైన నిరోధాన్ని రాసి దానిపై ఇరుకైన అనుమతిని పెట్టడం. Windows లో స్పష్టమైన నిరోధం సాధారణంగా అనుమతిని ఓడిస్తుంది, కాబట్టి ఆ క్రమం ఒక క్లయింట్ కోసం మినహాయింపు బదులు ఎవరూ చేరుకోలేని సేవను సృష్టిస్తుంది. ఫలితం విరిగిన RDP సేవలా కనిపించే అంతరాయం. ఇది వాస్తవానికి ప్రాధాన్యత లోపం, మరియు పరిష్కారం మరో అనుమతి జోడించడం కాదు, నిరోధాన్ని తొలగించడం.

సక్రియ ప్రొఫైల్లపై డిఫాల్ట్ ఇన్బౌండ్ నిరోధ ప్రవర్తనను ఉంచి, బదులుగా నిర్దిష్ట అనుమతులను ఇరుకుగా చేయండి. అది యంత్రాన్ని రెండు విరుద్ధ నియమాల బదులు ఒక అర్థమయ్యే స్థితిలో ఉంచుతుంది, వాటి పరస్పర చర్య ప్రాధాన్యత వివరాలపై ఆధారపడి ఉంటుంది.

రెండవ మూలంతో నిరూపించండి

అనుమతించిన క్లయింట్ నుండి మరియు ఇప్పుడు విఫలం కావాల్సిన మూలం నుండి పరీక్షించండి. ఒక విజయవంతమైన కనెక్షన్ అనుమతించిన మార్గం పనిచేస్తుందని మాత్రమే నిరూపిస్తుంది; మీరు ఇప్పుడే చేసిన మినహాయింపు గురించి ఏమీ చెప్పదు.

సర్వర్లో ప్రారంభించి ఉంటే IPv6 ద్వారా పరీక్షను పునరావృతం చేయండి, ఎందుకంటే IPv4 కోసం మాత్రమే ఉన్న ఉద్దేశం ఎవరూ చూడని విశాలమైన IPv6 అనుమతితో కలిసి ఉండవచ్చు.

చివరగా, ధృవీకరణను చేరుకోగల సామర్థ్యం నుండి వేరుగా ఉంచండి. నెట్వర్క్ స్థాయి ధృవీకరణ, ఖాతా హక్కులు మరియు లాగిన్ పరిమితులు ఇప్పటికీ ఎవరు సెషన్ను ఉపయోగించవచ్చో నిర్ణయిస్తాయి, ఫైర్వాల్ ఎవరు అడగవచ్చో మాత్రమే నిర్ణయిస్తుంది. తర్వాత పరికరాన్ని తొలగించినప్పుడు దాని VPN నమోదు మరియు ఈ నెట్వర్క్ అనుమతి రెండూ తొలగించాలి, లేకపోతే మీరు పరిమితం చేసిన చిరునామా ఒక రోజు మరొకరికి చెందుతుంది.