RDP izin kuralı eklemek VPN erişiminizi daraltmaz

Plan makul görünüyor: mevcut Uzak Masaüstü iznini olduğu gibi bırakın ve erişimi olması gereken tek VPN istemcisi için küçük bir izin ekleyin. Windows Firewall böyle çalışmaz. Kurallar en belirgin girdinin kazandığı sıralı bir liste değildir ve geniş bir iznin yanındaki dar izin hiçbir şeyi değiştirmez, çünkü geniş olan zaten izin verdiği herkese hâlâ izin verir. Hizmeti daraltmak, işi zaten yapan izni düzenlemek anlamına gelir.

Eklediğiniz kural önemli olan kural değil

Windows Firewall makine için geçerli olan ilke depolarındaki tüm uygulanabilir gelen kurallarını değerlendirir, ardından herhangi bir iznin eşleşip eşleşmediğine ve herhangi bir engellemenin onu geçersiz kılıp kılmadığına karar verir. Kural eklemek izin ekler; var olan izinleri kaldırmaz veya sınırlamaz.

Yani soru asla ne eklediğiniz değildir. Soru, yerel ilke, etki alanı ilkesi ve profil varsayılanları birleştirildikten sonra etkin ilkenin ne içerdiğidir. Tek yerel kuralı olan bir iş istasyonunu düşünmek kolaydır; bir etki alanına katılmış sunucuyu düşünmek değil.

Bu yüzden bir yönetici doğru görünen bir değişiklik yapabilir, onu yanlış makineden test edebilir ve işe yaradığı sonucuna varabilir. Dışlanan kaynak hiç test edilmedi. Yalnızca başarıyı kanıtlayan bir test, değişikliğin amacının yarısından azını kanıtlar.

Sunucunun hangi adresi gördüğünü öğrenin

Herhangi bir şeyi kapsamlandırmadan önce Windows ana bilgisayarında izin verilen bir oturumu gözlemleyin ve sunucunun bildirdiği kaynak adresini not edin. Bu her zaman istemcinin sahip olduğunu düşündüğü adres değildir.

VPN geçidi istemci adreslerini koruyorsa sunucu istemcinin tünel adresini görür ve adresle kapsamlandırılmış bir kural anlamlıdır. Geçit adresleri çeviriyorsa her istemci geçidin adresi olarak gelir ve o adrese kapsamlandırmak arkasındaki her istemciye erişim verir. O zaman kural yanlış şey konusunda hassastır.

Bu iki tasarım farklı yanıtlar gerektirir. Birincisi bir güvenlik duvarı kuralında ifade edilebilir; ikincisi kimliğin hâlâ var olduğu yerde, yani VPN'in kendisinde veya hizmetin önündeki kimliği doğrulanmış bir geçitte uygulanmalıdır.

Bir güvenlik duvarı filtresi, ağ çevirisinin attığı kimliği, adres ne kadar dikkatle yazılmış olursa olsun geri getiremez.

Etkin kuralın sahibini değiştirin

Etkin gelen ilkeyi inceleyin ve şu anda RDP trafiğine izin veren her kuralı bulun; görünen adı 3389 numaralı bağlantı noktasından hiç söz etmeyen kurallar dahil. Hizmetle ve uygulamayla sınırlandırılmış kurallar da sayılır; bazı RDP dağıtımlarının etkinleştirdiği UDP taşıması da öyle.

Ardından mevcut kuralları onlara sahip olan depo üzerinden düzenleyin. Etki alanı ilkesinin de tanımladığı bir kuralda yerel düzenleme birleştirilebilir, yok sayılabilir veya üzerine yazılabilir ve ona güvenmeden önce bunlardan hangisinin olduğunu bilmek faydalıdır.

Bu komutlar etkin kuralları bulur, bunlardan birine bağlı adres filtresini gösterir ve kapsam değişikliğini önizler:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Buradaki kural adları, incelemenin bulduklarının yer tutucularıdır ve önizleme bayrağı, adresteki bir yazım hatasının sizi düzenlediğiniz sunucunun dışında kilitlememesi için vardır.

Önce engelle sonra izin ver farklı bir modeldir

Diğer güvenlik duvarlarından gelen alışkanlık, geniş bir engelleme yazıp üzerine dar bir izin koymaktır. Windows'ta açık bir engelleme genellikle bir izne üstün gelir, bu yüzden bu sıralama tek bir istemci için istisna yerine kimsenin ulaşamadığı bir hizmet üretir. Sonuç, bozuk bir RDP hizmeti gibi görünen bir kesintidir. Bu aslında bir öncelik hatasıdır ve düzeltme, başka bir izin eklemek değil engellemeyi kaldırmaktır.

Etkin profillerde varsayılan gelen engelleme davranışını koruyun ve bunun yerine belirli izinleri daraltın. Bu, etkileşimi öncelik ayrıntılarına bağlı olan iki çelişkili kural yerine makineyi anlaşılır tek bir duruşla bırakır.

İkinci bir kaynakla kanıtlayın

İzin verilen istemciden ve artık başarısız olması gereken bir kaynaktan test edin. Tek bir başarılı bağlantı yalnızca izin verilen yolun çalıştığını kanıtlar; az önce yaptığınız dışlama hakkında hiçbir şey söylemez.

Sunucuda etkinse testi IPv6 üzerinden yineleyin, çünkü yalnızca IPv4'e yönelik bir niyet, kimsenin bakmadığı geniş bir IPv6 izniyle bir arada bulunabilir.

Son olarak, kimlik doğrulamayı erişilebilirlikten ayrı tutun. Ağ düzeyinde kimlik doğrulama, hesap hakları ve oturum açma kısıtlamaları oturumu kimin kullanabileceğine hâlâ karar verir ve güvenlik duvarı yalnızca kimin sorabileceğine karar verir. Bir cihazı daha sonra kaldırmak, hem VPN kaydını hem de bu ağ iznini kaldırmalıdır, yoksa kapsamlandırdığınız adres bir gün başkasına ait olur.