RDP istemciyi değiştirir: veritabanı neden başka bir ana bilgisayar görür

VPN kuralınız veritabanını reddediyor ve bilet güvenlik duvarı arızası olarak kapatılıyor, oysa aynı kullanıcı yayımlanmış bir masaüstü açıp o veritabanını sorunsuz sorguluyor. Her iki ifade de doğru. Masaüstü başka bir istemcidir; kuralların zaten güvendiği bir segmentte kendi adresi ve ileriye bağlandığında kendi kimliği vardır. Çelişkili bir kural gibi görünen şey genellikle kimsenin incelemeye koymadığı ikinci bir istektir.

İkinci isteğin kendi istemci adresi vardır

Oturum içindeki bir uygulama veritabanına bağlantı açtığında, TCP el sıkışması oturum ana bilgisayarında başlar. Kaynak adresi o ana bilgisayarın ağına aittir, bu yüzden yoldaki her yönlendirici ve veritabanı güvenlik duvarı dizüstü bilgisayarınızın geldiği tünel havuzunu değil masaüstünün segmentini değerlendirir. VPN adresi o akışta asla görünmez. Bu yüzden kaynağa dayalı bir ret kuralı aynı anda hem doğru hem de ilgisiz olabilir.

Kaynağı dizüstü bilgisayardan değil oturumun içinden okuyun, sonra ileri yolu aynı yerden test edin. İki yanıt isteği hangi ana bilgisayarın yaptığı konusunda anlaşmalıdır.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

Oturumun bildirdiğini veritabanının aynı an için kaydettiği adresle karşılaştırın. Sunucu günlüğü tünel havuzu yerine masaüstünün alt ağını gösterdiğinde soru, kuralın tetiklenip tetiklenmediğinden çıkar ve isteği hangi ana bilgisayarın yaptığına dönüşür. Bu, başka bir sahibi olan başka bir soruşturmadır.

Kimlik de adreslemeyle birlikte değişir

İleri bağlantı genellikle oturum belirteci, saklanan kimlik bilgisi veya uygulamanın hizmet hesabı olarak kimlik doğrular ve kaynak kendisine ne verildiyse onu kaydeder. Bu yüzden veritabanında hizmet hesabı gösteren bir denetim izi, sorguyu bir insanın çalıştırdığını kanıtlamaz. O insanı da tanımlamaz. Yalnızca masaüstünün kendi oturum günlüğü bu iki kaydı birbirine bağlar.

Yetkilendirme iki kez olur ve ikinci karar farklı girdilerle verilir. Birincisi adı belirtilen kullanıcıya masaüstü oturum açma hakkı verir, ikincisi o kullanıcının belirtecinin veya uygulama hesabının kaynak üzerinde neler yapabileceğini verir. Masaüstü açabilen bir yardım masası grubu otomatik olarak müşteri tablosu okuyabilen bir grup değildir.

Erişim notunu yazmadan önce belirtece ve yetki devri yoluna bakın. İkisi de oturumun içinden görünür ve yanıtın tahmin olmadığı tek yer orasıdır.

whoami /groups
klist
query session

Uygulama bir hizmet hesabı kullanıyorsa ileride önemli olan onun haklarıdır. O kimlik bilgisinin döndürülmesi erişim incelemesine aittir, sonradan gelen operasyonel bir düşünceye değil.

Doğrudan yol neden hâlâ ve haklı olarak engelli

Ret kuralı yalnızca hedefe başka bir yoldan ulaşılabildiği için yanlış değildir. Segmentasyon kaynak bazında değerlendirilir ve masaüstü, birinin onu veritabanına giden bir yol olarak düşünmesinden çok önce izin verilmiş bir segmentte durur. Hiçbir şey politikayı atlamadı. Politika yalnızca iki farklı sonucu olan iki farklı kaynağı tanımlar.

İncelemenin yanıtlaması gereken, o ana bilgisayardaki her yetkili oturumun neyi başlatabileceğidir. Kayıtlı oturumları olan tarayıcılar, eşlenmiş sürücüler, kimlik bilgisi tutan aracılar ve yerel olarak dinleyen hizmetler masaüstünün erişimini genişletir ve hiçbiri oturum açmayı veren bilete yansımaz. O envanter gerçek izin yüzeyidir.

Bunu elektronik tablodan değil, bir test oturumunun içinden listeleyin. Birkaç komut yüzeyin çoğunu kapsar.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Sınırı bilerek seçin

Üç biçim farklı işlere uyar ve seçim, tesadüfen var olan aracı değil işi izlemelidir. Yayımlanmış uygulama kendi izinleriyle tek bir program sunar, tam masaüstü kullanıcı profilinin yapabildiği her şeyi sunar ve kaynak kısıtlamalı dar bir veritabanı hesabı masaüstü olmadan tek bir kaynak sunar. İşi hâlâ tamamlayan en dar biçim belgelenmesi gerekendir. Daha geniş her şey yanına yazılmış bir gerekçe ister.

Tek bir rapor için yayımlanmış uygulama veya kısıtlı hesap, genel bir masaüstünden daha küçük bir yetkidir. Gerçekten birkaç araç gerektiren bakım için masaüstü doğru olabilir, ama o zaman onay tek bir uygulamayı değil tüm ana bilgisayarı tanımlar. Kaynağın sahibine bunlardan hangisine razı olduğunu sorun.

Veri hareketi ayrı bir anahtardır. Pano, sürücü yönlendirmesi ve indirmeler şirket verisini istemciye taşıyabilir ve bir uygulamayı uzaktan çalıştırmak veriyi tek başına uzakta tutmaz.

İki onayı ve kaldırma yolunu denetleyin

Kayda iki onay girer: masaüstüne ulaşma ve onu açma hakkı ile içeriden kaynak kullanma hakkı. Her biri için bir sahip belirleyin ve ikincisini kaynağı inceleyen herkes için görünür tutun. Denetçinin soracağı o ikinci giriştir, çünkü girişi değil erişimi tanımlar. İkisini de değişiklik onaylanmadan önce yazın, ilk olaydan sonra değil.

Sonra kaldırmayı test edin, çünkü bağlantısı kesilmiş bir oturum varlık nedeninden daha uzun yaşayabilir. Oturum tablosu nelerin hâlâ çalıştığını görmek için en hızlı yerdir.

query session
query user
qwinsta /server:rdsh01.corp.internal

İstemcinin bağlantısını kesmek uzak oturumu çalışır bırakır ve ağ bağlantıları ile önbelleğe alınmış kimlik bilgileri o oturum bitene kadar kullanılabilir kalabilir. Oturumu kapatın veya açıkça sonlandırın ve ardından alttaki sayacın ilerlemeyi bıraktığını doğrulayın. Yalnızca dizüstü kapağını kapatan bir kaldırma testi hiçbir şey kanıtlamaz. Aynı testi bir kez hesap devre dışıyken, bir kez masaüstü izni kaldırılmışken yapın ve her durumda kaynağın neyi günlüğe aldığını yazın.