การเพิ่มกฎอนุญาตสำหรับ RDP ไม่ได้จำกัดการเข้าถึง VPN ของคุณให้แคบลง

แผนฟังดูสมเหตุสมผล: ปล่อยการอนุญาต Remote Desktop ที่มีอยู่ไว้ตามเดิม แล้วเพิ่มการอนุญาตเล็ก ๆ สำหรับไคลเอนต์ VPN เพียงตัวเดียวที่ควรเข้าถึงได้ Windows Firewall ไม่ทำงานแบบนั้น กฎไม่ได้เป็นรายการเรียงลำดับที่รายการเจาะจงที่สุดชนะ และการอนุญาตแคบ ๆ ข้างการอนุญาตกว้าง ๆ ก็ไม่เปลี่ยนแปลงอะไร เพราะตัวกว้างยังคงปล่อยทุกคนที่มันปล่อยอยู่แล้ว การจำกัดบริการให้แคบลงหมายถึงการแก้ไขการอนุญาตที่ทำงานอยู่แล้วนั้นเอง

กฎที่คุณเพิ่มไม่ใช่กฎที่สำคัญ

Windows Firewall ประเมินกฎขาเข้าที่ใช้ได้ทั้งหมดในที่เก็บนโยบายที่ใช้กับเครื่อง แล้วตัดสินว่ามีการอนุญาตใดตรงกันหรือไม่ และมีการบล็อกใดมีผลเหนือกว่าหรือไม่ การเพิ่มกฎเป็นการเพิ่มการอนุญาต มันไม่ได้ลบหรือจำกัดการอนุญาตที่มีอยู่แล้ว

ดังนั้นคำถามไม่เคยเป็นว่าคุณเพิ่มอะไร คำถามคือ นโยบายที่มีผลบังคับใช้มีอะไรบ้าง หลังจากนโยบายท้องถิ่น นโยบายโดเมน และค่าเริ่มต้นของโปรไฟล์ถูกรวมเข้าด้วยกัน เวิร์กสเตชันที่มีกฎท้องถิ่นเดียวคิดตามได้ง่าย เซิร์ฟเวอร์ที่เข้าร่วมโดเมนไม่ใช่

นั่นคือเหตุผลที่ผู้ดูแลระบบสามารถทำการเปลี่ยนแปลงที่ดูถูกต้อง ทดสอบจากเครื่องผิด แล้วสรุปว่ามันได้ผล แหล่งที่ถูกยกเว้นไม่เคยถูกทดสอบ การทดสอบที่พิสูจน์เพียงความสำเร็จพิสูจน์ได้น้อยกว่าครึ่งของสิ่งที่การเปลี่ยนแปลงมีไว้

ค้นหาว่าเซิร์ฟเวอร์เห็นที่อยู่ใด

ก่อนจะจำกัดอะไร ให้สังเกตเซสชันที่ได้รับอนุญาตหนึ่งครั้งบนโฮสต์ Windows และบันทึกที่อยู่ต้นทางที่เซิร์ฟเวอร์รายงาน ไม่ใช่ที่อยู่ที่ไคลเอนต์คิดว่าตัวเองมีเสมอไป

หากเกตเวย์ VPN รักษาที่อยู่ของไคลเอนต์ไว้ เซิร์ฟเวอร์จะเห็นที่อยู่ทันเนลของไคลเอนต์ และกฎที่จำกัดตามที่อยู่ก็มีความหมาย หากเกตเวย์แปลงที่อยู่ ไคลเอนต์ทุกตัวจะมาถึงในฐานะที่อยู่ของเกตเวย์ และการจำกัดที่อยู่นั้นจะให้การเข้าถึงแก่ไคลเอนต์ทุกตัวที่อยู่ข้างหลัง เมื่อนั้นกฎก็แม่นยำในเรื่องที่ผิด

การออกแบบสองแบบนี้ต้องการคำตอบที่ต่างกัน แบบแรกแสดงออกได้ในกฎไฟร์วอลล์ ส่วนแบบที่สองต้องบังคับใช้ในจุดที่ตัวตนยังมีอยู่ นั่นคือใน VPN เองหรือในเกตเวย์ที่ผ่านการรับรองความถูกต้องหน้าเซอร์วิส

ตัวกรองไฟร์วอลล์ไม่สามารถกู้คืนตัวตนที่การแปลงที่อยู่เครือข่ายทิ้งไปได้ ไม่ว่าจะพิมพ์ที่อยู่มาอย่างระมัดระวังเพียงใด

เปลี่ยนเจ้าของกฎที่มีผลบังคับใช้

ตรวจสอบนโยบายขาเข้าที่มีผลบังคับใช้และหากฎทุกข้อที่อนุญาตทราฟฟิก RDP อยู่ในปัจจุบัน รวมถึงกฎที่ชื่อที่แสดงไม่เคยกล่าวถึงพอร์ต 3389 กฎที่จำกัดตามบริการและตามแอปพลิเคชันก็นับด้วย เช่นเดียวกับ UDP ที่การติดตั้ง RDP บางแบบเปิดใช้

จากนั้นแก้ไขกฎที่มีอยู่ผ่านที่เก็บที่เป็นเจ้าของกฎนั้น การแก้ไขในเครื่องของกฎที่โดเมนโพลิซีกำหนดไว้ด้วยอาจถูกรวม ถูกละเลย หรือถูกเขียนทับ และควรรู้ว่าจะเกิดกรณีใดก่อนจะพึ่งพามัน

คำสั่งเหล่านี้ค้นหากฎที่ใช้งานอยู่ แสดงตัวกรองที่อยู่ที่เชื่อมกับกฎข้อหนึ่ง และแสดงตัวอย่างการเปลี่ยนขอบเขต

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

ชื่อกฎที่นี่เป็นตัวแทนของสิ่งที่การทบทวนพบ และแฟล็กแสดงตัวอย่างมีไว้เพื่อไม่ให้การพิมพ์ผิดในที่อยู่ทำให้คุณถูกล็อกออกจากเซิร์ฟเวอร์ที่คุณกำลังแก้ไข

บล็อกก่อนแล้วจึงอนุญาตเป็นรูปแบบที่ต่างออกไป

นิสัยจากไฟร์วอลล์อื่นคือเขียนการบล็อกแบบกว้างแล้ววางการอนุญาตแคบ ๆ ไว้เหนือมัน ใน Windows การบล็อกที่ชัดเจนมักชนะการอนุญาต ลำดับนั้นจึงสร้างบริการที่ไม่มีใครเข้าถึงได้แทนที่จะเป็นข้อยกเว้นสำหรับไคลเอนต์รายเดียว ผลลัพธ์คือการหยุดชะงักที่ดูเหมือนบริการ RDP เสีย จริง ๆ แล้วเป็นความผิดพลาดเรื่องลำดับความสำคัญ และการแก้ไขคือเอาการบล็อกออกไม่ใช่เพิ่มการอนุญาตอีกข้อ

คงพฤติกรรมการบล็อกขาเข้าเริ่มต้นไว้บนโปรไฟล์ที่ใช้งานอยู่ และจำกัดการอนุญาตเฉพาะแทน สิ่งนั้นทำให้เครื่องเหลือท่าทีเดียวที่เข้าใจได้แทนที่จะเป็นกฎสองข้อที่ขัดแย้งกันซึ่งปฏิสัมพันธ์ขึ้นอยู่กับรายละเอียดลำดับความสำคัญ

พิสูจน์ด้วยแหล่งที่สอง

ทดสอบจากไคลเอนต์ที่ได้รับอนุญาตและจากแหล่งที่ตอนนี้ควรล้มเหลว การเชื่อมต่อที่สำเร็จเพียงครั้งเดียวพิสูจน์เพียงว่าเส้นทางที่อนุญาตทำงานได้ ไม่ได้บอกอะไรเกี่ยวกับการยกเว้นที่คุณเพิ่งทำ

ทำการทดสอบซ้ำผ่าน IPv6 หากเซิร์ฟเวอร์เปิดใช้งาน เพราะเจตนาที่มีเฉพาะ IPv4 สามารถอยู่ร่วมกับการอนุญาต IPv6 แบบกว้างที่ไม่มีใครดูได้

สุดท้าย แยกการรับรองความถูกต้องออกจากการเข้าถึงได้ การรับรองความถูกต้องระดับเครือข่าย สิทธิของบัญชี และข้อจำกัดการลงชื่อเข้าใช้ยังคงกำหนดว่าใครใช้เซสชันได้ และไฟร์วอลล์กำหนดเพียงว่าใครถามได้ การถอดอุปกรณ์ออกในภายหลังควรถอดทั้งการลงทะเบียน VPN และสิทธิ์เครือข่ายนี้ มิฉะนั้นที่อยู่ที่คุณจำกัดไว้จะกลายเป็นของคนอื่นในสักวัน