Ang pagdaragdag ng panuntunan sa pahintulot para sa RDP ay hindi nagpapaliit ng iyong access sa VPN

Mukhang makatwiran ang plano: iwanan ang umiiral na pahintulot para sa Remote Desktop at magdagdag ng maliit para sa nag-iisang kliyenteng VPN na dapat may access. Hindi ganoon gumagana ang Windows Firewall. Ang mga panuntunan ay hindi isang nakaayos na listahan kung saan nananalo ang pinakaspesipikong entry, at ang makitid na pahintulot sa tabi ng malawak ay walang binabago, dahil ang malawak ay patuloy pa ring tumatanggap sa lahat ng tinatanggap na nito. Ang pagpapaliit ng serbisyo ay nangangahulugan ng pag-edit sa pahintulot na gumagawa na ng trabaho.

Ang panuntunang idinadagdag mo ay hindi ang panuntunang mahalaga

Sinusuri ng Windows Firewall ang lahat ng naaangkop na papasok na panuntunan sa mga tindahan ng patakaran na naaangkop sa makina, pagkatapos ay magpapasya kung may tumutugmang pahintulot at kung may harang na umaagaw dito. Ang pagdaragdag ng panuntunan ay nagdaragdag ng pahintulot; hindi nito inaalis o nililinaw ang mga pahintulot na naroon na.

Kaya ang tanong ay hindi kailanman kung ano ang idinagdag mo. Ito ay ano ang nilalaman ng epektibong patakaran pagkatapos pagsamahin ang lokal na patakaran, patakaran ng domain at mga default ng profile. Ang workstation na may isang lokal na panuntunan ay madaling isipin; ang server na kabilang sa isang domain ay hindi.

Kaya nakakagawa ang administrador ng pagbabagong mukhang tama, masusubukan ito mula sa maling makina at makakapagpasya na gumana ito. Ang ibinukod na pinagmulan ay hindi kailanman nasubukan. Ang pagsubok na nagpapatunay lamang ng tagumpay ay nagpapatunay ng mas mababa sa kalahati ng layunin ng pagbabago.

Alamin kung aling address ang nakikita ng server

Bago limitahan ang anuman, obserbahan ang isang pinahintulutang session sa host ng Windows at itala ang address ng pinagmulan na iniuulat ng server. Hindi ito palaging ang address na inaakala ng kliyente na taglay niya.

Kung pinapanatili ng gateway ng VPN ang mga address ng kliyente, nakikita ng server ang address ng tunnel ng kliyente, at may saysay ang panuntunang limitado sa address. Kung nagsasalin ang gateway, dumarating ang bawat kliyente bilang address ng gateway, at ang paglilimita sa address na iyon ay nagbibigay ng access sa bawat kliyenteng nasa likod nito. Kung ganoon, ang panuntunan ay tumpak sa maling bagay.

Ang dalawang disenyong ito ay nangangailangan ng magkaibang sagot. Ang una ay maaaring ipahayag sa isang panuntunan ng firewall; ang pangalawa ay dapat ipatupad kung saan umiiral pa ang pagkakakilanlan, ibig sabihin, sa VPN mismo o sa isang awtentikadong gateway sa harap ng serbisyo.

Hindi mababawi ng filter ng firewall ang pagkakakilanlang itinapon ng pagsasalin ng network, gaano man kapinag-ingat na naipasok ang address.

Palitan ang may-ari ng epektibong panuntunan

Suriin ang epektibong papasok na patakaran at hanapin ang bawat panuntunang kasalukuyang tumatanggap ng trapikong RDP, kabilang ang mga panuntunang ang nakikitang pangalan ay hindi kailanman nagbabanggit ng port 3389. Binibilang din ang mga panuntunang limitado sa serbisyo at sa aplikasyon, gayundin ang transportasyong UDP na pinapagana ng ilang deployment ng RDP.

Pagkatapos, i-edit ang mga umiiral na panuntunan sa pamamagitan ng tindahang nagmamay-ari sa kanila. Ang lokal na pag-edit sa panuntunang tinutukoy din ng patakaran ng domain ay maaaring pagsamahin, balewalain o palitan, at sulit na malaman kung alin sa mga ito ang nangyayari bago ka umasa rito.

Hinahanap ng mga command na ito ang mga aktibong panuntunan, ipinapakita ang filter ng address na nakakabit sa isa sa kanila at nagpapakita ng preview ng pagbabago ng saklaw:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Ang mga pangalan ng panuntunan dito ay mga pantulong na panandaan para sa natagpuan ng pagsusuri, at ang flag ng preview ay naroon upang ang isang typo sa address ay hindi ka ikulong sa labas ng server na ina-edit mo.

Harangan muna at pagkatapos payagan ay ibang modelo

Ang ugali mula sa ibang mga firewall ay magsulat ng malawak na harang at pagkatapos ay isang makitid na pahintulot sa ibabaw nito. Sa Windows, ang tahasang harang ay karaniwang nananalo laban sa pahintulot, kaya ang ganoong pagkakasunod-sunod ay lumilikha ng serbisyong walang makakaabot sa halip na isang pagbubukod para sa isang kliyente. Ang resulta ay isang pagkaantala na mukhang sirang serbisyo ng RDP. Talagang isa itong pagkakamali sa priyoridad, at ang lunas ay alisin ang harang sa halip na magdagdag ng isa pang pahintulot.

Panatilihin ang default na pagharang sa papasok na trapiko sa mga aktibong profile at sa halip ay paliitin ang mga partikular na pahintulot. Iniiwan nito ang makina na may isang maintindihang tindig sa halip na dalawang magkasalungat na panuntunan na ang interaksyon ay nakasalalay sa mga detalye ng priyoridad.

Patunayan ito sa pangalawang pinagmulan

Subukan mula sa pinahintulutang kliyente at mula sa pinagmulang dapat mabigo ngayon. Ang isang matagumpay na koneksyon ay nagpapatunay lamang na gumagana ang pinahintulutang landas; wala itong sinasabi tungkol sa pagbubukod na ginawa mo lang.

Ulitin ang pagsubok sa IPv6 kung pinagana ito sa server, dahil ang intensyong para sa IPv4 lamang ay maaaring mabuhay kasama ng malawak na pahintulot sa IPv6 na walang tumingin.

Sa wakas, panatilihing hiwalay ang awtentikasyon sa maabot. Ang awtentikasyon sa antas ng network, mga karapatan ng account at mga paghihigpit sa pag-log in ay nagpapasya pa rin kung sino ang maaaring gumamit ng session, at ang firewall ay nagpapasya lamang kung sino ang maaaring magtanong. Ang pagtanggal ng isang device sa hinaharap ay dapat magtanggal ng parehong enrollment nito sa VPN at ng pahintulot na ito sa network, kung hindi ang address na nilimitahan mo ay magiging pag-aari ng ibang tao balang araw.