రిమోట్ డెస్క్‌టాప్ హక్కులు లేకుండా VPN యాక్సెస్: నాలుగు వేర్వేరు ద్వారాలు

ఒక వినియోగదారు VPNకి కనెక్ట్ అవుతారు, ఫైల్ షేర్ మరియు అంతర్గత అప్లికేషన్‌ను తెరుస్తారు, ఆపై RDP ప్రయత్నం «వినియోగదారు ఖాతా రిమోట్ లాగిన్‌కు అధికారం పొందలేదు» అని తిరిగి ఇస్తుంది. ఆ సందేశంలో టన్నెల్ గురించి ఏదీ తప్పు లేదు. VPN ఖాతా మరియు ఇంటరాక్టివ్ డెస్క్‌టాప్ మధ్య నాలుగు స్వతంత్ర ద్వారాలు ఉన్నాయి, మరియు దాన్ని సృష్టించింది చివరిది మాత్రమే. ప్రజలు సాధారణంగా ఖాతాను Administratorsలో చేర్చడం ద్వారా స్పందిస్తారు, ఇది డెస్క్‌టాప్ కంటే చాలా ఎక్కువ ఇస్తుంది మరియు సమూహ విధానం తిరస్కరిస్తే ద్వారాన్ని సరిచేయదు. ప్రతి ద్వారం నిజంగా ఏమి చేస్తుంది, తిరస్కరించే ద్వారాన్ని మాత్రమే ఎలా మార్చాలి అనేది ఇక్కడ ఉంది.

నాలుగు ద్వారాలు స్థిర క్రమంలో

గేట్‌వే మొదట గుర్తింపు టన్నెల్‌ను నిర్మించగలదా అని నిర్ణయిస్తుంది: RADIUS విధానం, సమూహ షరతు, ధృవపత్ర తనిఖీ, Access Server అనుమతి. తర్వాత రూటింగ్ మరియు ఫైర్‌వాల్లు టన్నెల్ పూల్ నుండి వచ్చిన ప్యాకెట్ గమ్యస్థానం యొక్క TCP 3389 శ్రోతను చేరుతుందా అని నిర్ణయిస్తాయి. తర్వాత క్లయింట్ యొక్క NLA హ్యాండ్‌షేక్ గమ్యస్థానానికి వ్యతిరేకంగా ఖాతాను ప్రామాణీకరిస్తుంది. ఈ మూడింటి తర్వాతే స్థానిక భద్రతా అధికారం ఇంటరాక్టివ్ రిమోట్ సెషన్‌కు అవసరమైన లాగాన్ హక్కు ఖాతాకు ఉందా అని తనిఖీ చేస్తుంది.

క్రమం స్థిరంగా ఉన్నందున, ప్రతి ద్వారం తన వెనుక ఉన్నవాటిని దాచుతుంది. విఫలమైన టన్నెల్ రూటింగ్ గురించి ఏమీ చెప్పదు; నిరోధించబడిన పోర్ట్ లాగాన్ హక్కు గురించి ఏమీ చెప్పదు; విజయవంతమైన పోర్ట్ పరీక్ష ప్రవేశం గురించి ఏమీ చెప్పదు. అందుకే «VPN పనిచేస్తుంది కానీ RDP పనిచేయదు» ఒక సమస్య కాదు, ఈ ద్వారాల్లో రెండింటి మధ్య సరిహద్దు, అందుకే లోపం వచనం మీరు ఏ ద్వారానికి తగిలారో తెలుసుకోవడానికి వేగవంతమైన మార్గం.

సెషన్‌ను నిజంగా తిరస్కరించే హక్కు

రిమోట్ డెస్క్‌టాప్‌కు సైన్-ఇన్ చేయడానికి వినియోగదారు హక్కు రిమోట్ డెస్క్‌టాప్ సేవల ద్వారా లాగాన్‌ను అనుమతించు, అంటే SeRemoteInteractiveLogonRight అవసరం. ఇది లాగాన్ సమయంలో తనిఖీ చేయబడుతుంది, టన్నెల్ నిర్మాణ సమయంలో కాదు, కాబట్టి ఖాతా గంటల తరబడి నెట్‌వర్క్‌లో తిరుగుతూ కూడా డెస్క్‌టాప్ తిరస్కరించబడవచ్చు. దాన్ని చూపించే సంభాషణ స్థానిక విధానాలు, వినియోగదారు హక్కుల కేటాయింపు కింద ఉంది, మరియు డొమైన్ సమానమైనది GPOలో ఉంది.

డిఫాల్ట్ సభ్యత్వం యంత్రం పాత్రపై ఆధారపడి ఉంటుంది: వర్క్‌స్టేషన్లు మరియు సభ్య సర్వర్లు దాన్ని Administrators మరియు Remote Desktop Usersకు ఇస్తాయి, అయితే డొమైన్ నియంత్రిక Administratorsకు మాత్రమే ఇస్తుంది. ఆ ఒక్క వాస్తవం చాలా గందరగోళాన్ని వివరిస్తుంది, ఎందుకంటే అదే ఖాతా ఫైల్ సర్వర్‌లో విజయవంతమవుతుంది మరియు DCలో విఫలమవుతుంది. తిరస్కరణ హక్కు సమూహ సభ్యత్వంతో సంబంధం లేకుండా సంబంధిత అనుమతి హక్కును ఓడిస్తుంది, కాబట్టి అనుమతి మరియు తిరస్కరణ రెండూ ఉన్న ఖాతా తిరస్కరించబడుతుంది. విస్తృత తిరస్కరణ సమూహం ఉపకారంగా జోడించిన నిర్వాహకుడిని కూడా పట్టుకోగలదు.

ప్రభావవంతమైన విధానాన్ని చదవండి, స్థానిక సంభాషణ కాదు

స్థానిక విధానం అదే హక్కును నిర్వచించే ఏదైనా డొమైన్ GPO ద్వారా భర్తీ చేయబడుతుంది, కాబట్టి స్థానిక స్నాప్-ఇన్ సరైనట్లు కనిపించే జాబితాను చూపగలదు, అయితే ప్రభావవంతమైన స్థితి భిన్నంగా ఉంటుంది. యంత్రం నిజంగా వర్తించేదాన్ని ఎగుమతి చేయండి, తర్వాత హక్కును వెతకండి మరియు చూపించే పేర్లకు బదులుగా SIDలను చదవండి:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

ఆ అవుట్‌పుట్‌లో *S-1-5-32-544 అంటే Administrators మరియు *S-1-5-32-555 అంటే Remote Desktop Users.

రెండూ కనిపించకపోతే, స్థానిక వినియోగదారులు మరియు సమూహాలు సంభాషణ ఏమి సూచించినా, విధాన హోల్డర్ తప్ప ఎవరూ డెస్క్‌టాప్‌ను తెరవలేరు. అప్పుడు gpresult గెలిచిన GPOను పేర్కొంటుంది, మరియు అదే మీరు సవరించాల్సిన వస్తువు; డొమైన్-జాయిన్ చేసిన యంత్రంలో స్థానిక విధానాన్ని మార్చడం పరీక్ష, పరిష్కారం కాదు.

సరిపోయే అత్యంత సన్నని హక్కును ఇవ్వండి

సాధారణ సమాధానం గమ్యస్థానంలోని Remote Desktop Users సమూహం. ఇది డిఫాల్ట్‌గా హక్కును కలిగి ఉంటుంది, Administrators కంటే చాలా చిన్నది, మరియు «డెస్క్‌టాప్‌ను తెరవగలదు» మరియు «సర్వర్‌ను నిర్వహించగలదు» మధ్య వేరు చేస్తుంది. విధానం హక్కును స్పష్టంగా పునఃకేటాయించిన చోట, ఎవరూ యాక్సెస్ నియంత్రణగా భావించని సమూహాన్ని జోడించడం బదులు ఆ సమూహాన్ని లేదా ఖాతాను ఆ విధానంలో జోడించండి.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

ఏదైనా జోడించే ముందు తిరస్కరణ జాబితాను తనిఖీ చేయండి. తిరస్కరణ హక్కు వినియోగదారుని కలిగి ఉన్న సమూహాన్ని పేర్కొంటే, సరైన మార్పు ఖాతాను ఆ సమూహం నుండి తీసివేయడం లేదా తిరస్కరణను సన్నగా చేయడం, మరెక్కడా రెండవ అనుమతిని జోడించడం కాదు. మీరు ఏ హక్కును ఎక్కడ మార్చారో నమోదు చేయండి, ఎందుకంటే తర్వాత GPO రిఫ్రెష్ మునుపటి స్థితిని నిశ్శబ్దంగా పునరుద్ధరిస్తుంది మరియు టికెట్ అదే సందేశంతో తిరిగి తెరుచుకుంటుంది.

నెట్‌వర్క్ మార్గాన్ని వేరు నిర్ణయంగా ఉంచండి

VPN సమూహం ప్రతి పోర్ట్‌ను చేరుకోవాల్సిన అవసరం లేదు. సమూహానికి డెస్క్‌టాప్ కాదు, అప్లికేషన్ అవసరమైనప్పుడు, టన్నెల్ పూల్ మరియు అప్లికేషన్ పోర్ట్‌కు పరిమితమైన ఫైర్‌వాల్ నియమం ఆ విధానాన్ని అమలు చేస్తుంది, లాగాన్ హక్కు తాకబడకుండా ఉంటుంది.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN యొక్క స్వంత ప్రతి-క్లయింట్ కాన్ఫిగరేషన్ మరియు Access Server సమూహ అనుమతులు అదే స్పూర్తిలో గమ్యస్థాన ప్రిఫిక్స్‌లను పరిమితం చేయగలవు; వాటిలో ఏదీ Windows లాగాన్ హక్కును ఇవ్వదు, లాగాన్ హక్కు పోర్ట్‌ను తెరవలేదు. వాటిని వేరు మార్పు విండోలలో ఉంచండి, ఎందుకంటే పోర్ట్ నియమం మరియు హక్కును వేర్వేరు వ్యక్తులు ఆమోదిస్తారు.

ద్వారాలు వర్తించే అదే క్రమంలో ధృవీకరించండి: ఖాతా టన్నెల్‌ను నిర్మించగలదా, సెషన్ శ్రోతను చేరుతుందా, క్లయింట్ ప్రామాణీకరిస్తుందా, ఖాతాకు హక్కు ఉందా. పోర్ట్ పరీక్ష విజయవంతమైనప్పుడు విఫలమయ్యే ping ICMPకు భిన్నంగా సమాధానమిచ్చే ఫైర్‌వాల్, RDP నిరోధించబడిందనడానికి రుజువు కాదు. Microsoft యొక్క లాగాన్ హక్కు సూచన యంత్ర పాత్ర ప్రకారం డిఫాల్ట్‌లను మరియు తిరస్కరణ అనుమతిని ఓడిస్తుందనే నియమాన్ని జాబితా చేస్తుంది.