Uzak Masaüstü hakları olmadan VPN erişimi: dört ayrı kapı

Bir kullanıcı VPN'e bağlanır, bir dosya paylaşımı ve dahili uygulama açar, ardından bir RDP denemesi «kullanıcı hesabı uzak oturum açma için yetkili değil» döndürür. Bu iletide tünelle ilgili yanlış bir şey yoktur. Bir VPN hesabı ile etkileşimli masaüstü arasında dört bağımsız kapı vardır ve bunu yalnızca sonuncusu üretti. İnsanlar genellikle hesabı Administrators'a ekleyerek yanıt verir; bu, masaüstünden çok daha fazlasını verir ve Grup İlkesi reddediyorsa kapıyı düzeltmez. Her kapının gerçekte ne yaptığı ve yalnızca reddeden kapının nasıl değiştirileceği aşağıda.

Dört kapı sabit bir sırada

Ağ geçidi önce kimliğin bir tünel kurup kuramayacağına karar verir: bir RADIUS ilkesi, grup koşulu, sertifika denetimi, Access Server izni. Sonra yönlendirme ve güvenlik duvarları, tünel havuzundan gelen paketin hedefin TCP 3389 dinleyicisine ulaşıp ulaşmadığına karar verir. Sonra istemcinin NLA el sıkışması hesabı hedefe karşı doğrular. Ancak bu üçünden sonra yerel güvenlik otoritesi, hesabın etkileşimli uzak oturumun gerektirdiği oturum açma hakkına sahip olup olmadığını denetler.

Sıra sabit olduğundan her kapı arkasındakileri gizler. Başarısız bir tünel yönlendirme hakkında hiçbir şey söylemez; engellenen bir bağlantı noktası oturum açma hakkı hakkında hiçbir şey söylemez; başarılı bir bağlantı noktası testi kabul hakkında hiçbir şey söylemez. Bu yüzden «VPN çalışıyor ama RDP çalışmıyor» tek bir sorun değil, bu kapılardan ikisi arasındaki sınırdır ve bu yüzden hata metni hangisine çarptığınızı anlamanın en hızlı yoludur.

Oturumu gerçekten reddeden hak

Uzak masaüstünde oturum açmak, Uzak Masaüstü Hizmetleri aracılığıyla oturum açmaya izin ver kullanıcı hakkını, yani SeRemoteInteractiveLogonRight gerektirir. Bu hak oturum açmada denetlenir, tünel kurulumunda değil, bu yüzden bir hesap saatlerce ağda dolaşıp yine de masaüstünden reddedilebilir. Bunu gösteren iletişim kutusu Yerel İlkeler, Kullanıcı Hakları Ataması altındadır ve etki alanı eşdeğeri bir GPO'dadır.

Varsayılan üyelik makinenin rolüne bağlıdır: iş istasyonları ve üye sunucular bunu Administrators ve Remote Desktop Users'a verirken, etki alanı denetleyicisi yalnızca Administrators'a verir. Bu tek gerçek karışıklığın çoğunu açıklar, çünkü aynı hesap bir dosya sunucusunda başarılı olur ve bir DC'de başarısız olur. Reddetme hakkı, grup üyeliğinden bağımsız olarak karşılık gelen izin hakkını yener, bu nedenle hem izin verilen hem de reddedilen bir hesap reddedilir. Geniş bir reddetme grubu, iyilik olsun diye eklenen bir yöneticiyi yakalayabilir.

Etkin ilkeyi okuyun, yerel iletişim kutusunu değil

Yerel ilke, aynı hakkı tanımlayan herhangi bir etki alanı GPO'su tarafından geçersiz kılınır, bu nedenle yerel snap-in doğru görünen bir liste gösterebilirken etkin durum farklıdır. Makinenin gerçekte uyguladığını dışa aktarın, ardından hakkı arayın ve görünen adlar yerine SID'leri okuyun:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Bu çıktıda *S-1-5-32-544 Administrators, *S-1-5-32-555 ise Remote Desktop Users'tır.

İkisi de görünmezse, yerel Kullanıcılar ve Gruplar iletişim kutusu ne önerirse önersin, ilke sahibi dışında kimse masaüstü açamaz. Sonra gpresult kazanan GPO'yu adlandırır ve düzenlemeniz gereken nesne odur; etki alanına katılmış bir makinede yerel ilkeyi değiştirmek bir testtir, düzeltme değil.

Uyan en dar hakkı verin

Olağan yanıt, hedefteki Remote Desktop Users grubudur. Hakkı varsayılan olarak taşır, Administrators'tan çok daha küçüktür ve «masaüstü açabilir» ile «sunucuyu yönetebilir» arasını ayırır. İlkenin hakkı açıkça yeniden atadığı yerlerde, kimsenin erişim denetimi olarak düşünmediği bir grup eklemek yerine o grubu veya hesabı o ilkeye ekleyin.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Herhangi bir şey eklemeden önce reddetme listesini denetleyin. Bir reddetme hakkı kullanıcıyı içeren bir grubu adlandırıyorsa, doğru değişiklik hesabı o gruptan çıkarmak veya reddetmeyi daraltmaktır, başka bir yere ikinci bir izin eklemek değil. Hangi hakkı nerede değiştirdiğinizi kaydedin, çünkü daha sonraki bir GPO yenilemesi önceki durumu sessizce geri yükler ve talep aynı mesajla yeniden açılır.

Ağ yolunu ayrı bir karar olarak tutun

VPN grubunun her bağlantı noktasına ulaşması gerekmez. Bir grup masaüstü değil uygulama gerektirdiğinde, tünel havuzuna ve uygulama bağlantı noktasına sınırlı bir güvenlik duvarı kuralı bu ilkeyi yürürlüğe koyar, oturum açma hakkı ise dokunulmadan kalır.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN'in istemci başına yapılandırması ve Access Server grup izinleri, hedef öneklerini aynı ruhla sınırlayabilir; hiçbiri Windows oturum açma hakkı vermez ve oturum açma hakkı bir bağlantı noktası açamaz. Bunları ayrı değişiklik pencerelerinde tutun, çünkü bir bağlantı noktası kuralı ve bir hak farklı kişiler tarafından onaylanır.

Kapıların geçerli olduğu aynı sırayla doğrulayın: hesap tüneli kurabiliyor mu, oturum dinleyiciye ulaşıyor mu, istemci kimliğini doğruluyor mu ve hesap hakkı taşıyor mu. Bağlantı noktası testi başarılıyken başarısız olan bir ping, ICMP'ye farklı yanıt veren bir güvenlik duvarıdır, RDP'nin engellendiğinin kanıtı değildir. Microsoft'un oturum açma hakkı başvurusu, makine rolüne göre varsayılanları ve reddetmenin izni yendiği kuralı listeler.