Pag-access sa VPN nang walang mga karapatan sa remote desktop: apat na hiwalay na pintuan

Kumokonekta ang isang user sa VPN, nagbubukas ng file share at panloob na aplikasyon, at pagkatapos ay ibinabalik ng pagtatangkang RDP ang «hindi awtorisado ang account ng user para sa remote na pag-log in». Wala namang mali sa tunnel sa mensaheng iyon. Apat na independiyenteng pintuan ang nasa pagitan ng VPN account at interactive na desktop, at ang huling isa lang ang gumawa nito. Karaniwang tumutugon ang mga tao sa pamamagitan ng pagdaragdag ng account sa Administrators, na nagbibigay ng higit pa kaysa sa desktop at hindi inaayos ang pintuan kung tinatanggihan ito ng Group Policy. Narito ang aktwal na ginagawa ng bawat pintuan, at kung paano babaguhin lamang ang tumatanggi.

Apat na pintuan sa fixed na pagkakasunod-sunod

Ang gateway ay unang nagpapasya kung ang pagkakakilanlan ay maaaring magtatag ng tunnel: patakaran ng RADIUS, kondisyon ng grupo, pagsusuri ng sertipiko, pahintulot ng Access Server. Pagkatapos ay nagpapasya ang routing at firewall kung ang packet mula sa pool ng tunnel ay umabot sa listener ng TCP 3389 ng destinasyon. Pagkatapos ay pinapatunayan ng NLA handshake ng client ang account laban sa destinasyon. Pagkatapos lamang ng tatlong ito ay sinusuri ng lokal na awtoridad ng seguridad kung ang account ay may karapatan sa pag-log on na kailangan ng interactive na remote na session.

Dahil fixed ang pagkakasunod-sunod, itinatago ng bawat pintuan ang mga nasa likod nito. Ang nabigong tunnel ay walang sinasabi tungkol sa routing; ang naka-block na port ay walang sinasabi tungkol sa karapatan sa pag-log on; ang matagumpay na pagsubok ng port ay walang sinasabi tungkol sa pagtanggap. Kaya naman ang «gumagana ang VPN pero hindi ang RDP» ay hindi isang problema kundi hangganan sa pagitan ng dalawa sa mga pintuang ito, at kaya naman ang teksto ng error ang pinakamabilis na paraan para malaman kung alin ang natamaan mo.

Ang karapatang aktwal na tumatanggi sa session

Ang pag-log on sa remote desktop ay nangangailangan ng karapatan ng user na Payagan ang pag-log on sa pamamagitan ng Remote Desktop Services, ang SeRemoteInteractiveLogonRight. Sinusuri ito sa pag-log on, hindi sa pagtatatag ng tunnel, kaya ang isang account ay maaaring maglibot sa network nang maraming oras at tanggihan pa rin ng desktop. Ang dialog na nagpapakita nito ay nasa Lokal na Patakaran, Pagtatalaga ng mga Karapatan ng User, at ang katumbas sa domain ay nasa isang GPO.

Ang default na pagiging miyembro ay nakasalalay sa papel ng makina: ang mga workstation at member server ay nagbibigay nito sa Administrators at Remote Desktop Users, samantalang ang domain controller ay nagbibigay lamang sa Administrators. Ang nag-iisang katotohanang ito ay nagpapaliwanag sa karamihan ng kalituhan, dahil ang parehong account ay nagtatagumpay sa isang file server at nabibigo sa isang DC. Ang karapatan sa pagtanggi ay nananaig sa katumbas na karapatan sa pagpayag anuman ang pagiging miyembro ng grupo, kaya ang account na parehong pinapayagan at tinatanggihan ay tinatanggihan. Ang malawak na grupong nagtatanggi ay maaaring makahuli ng administrator na idinagdag bilang pabor.

Basahin ang epektibong patakaran, hindi ang lokal na dialog

Ang lokal na patakaran ay pinapalitan ng anumang domain GPO na tumutukoy ng parehong karapatan, kaya ang lokal na snap-in ay maaaring magpakita ng listahang mukhang tama habang ang epektibong estado ay iba. I-export ang aktwal na inilalapat ng makina, pagkatapos ay hanapin ang karapatan at basahin ang mga SID sa halip na ang mga display name:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Sa output na iyon, ang *S-1-5-32-544 ay Administrators at ang *S-1-5-32-555 ay Remote Desktop Users.

Kung wala sa dalawa ang lumitaw, walang sinuman maliban sa may-ari ng patakaran ang makakabukas ng desktop, anuman ang iminumungkahi ng lokal na dialog ng Mga User at Grupo. Pagkatapos ay pinangalanan ng gpresult ang GPO na nanalo, at iyon ang object na kailangan mong i-edit; ang pagbabago ng lokal na patakaran sa isang makinang sumali sa domain ay pagsubok, hindi pag-aayos.

Ibigay ang pinakamakitid na karapatang angkop

Ang karaniwang sagot ay ang grupong Remote Desktop Users sa destinasyon. Dinadala nito ang karapatan bilang default, mas maliit ito kaysa sa Administrators, at pinaghihiwalay ang «makakabukas ng desktop» sa «makakapamahala ng server». Kung saan tahasang itinalaga muli ng patakaran ang karapatan, idagdag ang grupo o account sa patakarang iyon sa halip na magdagdag ng grupong walang sinumang nag-isip bilang kontrol sa access.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Suriin ang listahan ng pagtanggi bago magdagdag ng anuman. Kung ang karapatan sa pagtanggi ay nagpangalan ng grupong naglalaman ng user, ang tamang pagbabago ay alisin ang account sa grupong iyon o pagkitirin ang pagtanggi, hindi magdagdag ng pangalawang pahintulot sa ibang lugar. Itala kung aling karapatan at saan ka nagbago, dahil ang susunod na pag-refresh ng GPO ay tahimik na ibabalik ang dating estado at muling magbubukas ang ticket na may parehong mensahe.

Ihiwalay ang landas ng network bilang sariling desisyon

Ang grupong VPN ay hindi kailangang umabot sa bawat port. Kapag ang isang grupo ay nangangailangan ng aplikasyon at hindi desktop, ang isang tuntunin ng firewall na limitado sa pool ng tunnel at port ng aplikasyon ay nagbibigay-bisa sa patakarang iyon, habang ang karapatan sa pag-log on ay nananatiling hindi ginalaw.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Ang konfigurasyon ng OpenVPN sa bawat client at ang mga pahintulot ng grupo ng Access Server ay maaaring limitahan ang mga prefix ng destinasyon sa parehong diwa; wala sa mga ito ang nagbibigay ng karapatan sa pag-log on sa Windows, at ang karapatan sa pag-log on ay hindi makakabukas ng port. Panatilihin ang mga ito sa hiwalay na mga window ng pagbabago, dahil ang tuntunin ng port at karapatan ay inaprubahan ng iba't ibang tao.

I-verify sa parehong pagkakasunod-sunod kung paano nalalapat ang mga pintuan: makakapagtatag ba ang account ng tunnel, umabot ba ang session sa listener, nagpapatunay ba ang client, at may karapatan ba ang account. Ang ping na nabibigo habang nagtatagumpay ang pagsubok ng port ay isang firewall na naiiba ang sagot sa ICMP, hindi patunay na naka-block ang RDP. Inililista ng reference ng Microsoft sa karapatan sa pag-log on ang mga default ayon sa papel ng makina at ang tuntuning nananaig ang pagtanggi sa pagpayag.