ریموٹ ڈیسک ٹاپ حقوق کے بغیر VPN رسائی: چار الگ دروازے

ایک صارف VPN سے جڑتا ہے، فائل شیئر اور اندرونی ایپلیکیشن کھولتا ہے، پھر RDP کی کوشش «صارف کا اکاؤنٹ ریموٹ لاگ ان کے لیے مجاز نہیں» واپس کرتی ہے۔ اس پیغام میں سرنگ کے بارے میں کچھ غلط نہیں۔ VPN اکاؤنٹ اور انٹرایکٹو ڈیسک ٹاپ کے درمیان چار خودمختار دروازے ہیں، اور یہ صرف آخری نے پیدا کیا۔ لوگ عام طور پر اکاؤنٹ کو Administrators میں شامل کر کے جواب دیتے ہیں، جو ڈیسک ٹاپ سے کہیں زیادہ دیتا ہے اور اگر گروپ پالیسی انکار کرے تو دروازہ ٹھیک نہیں کرتا۔ یہ ہے کہ ہر دروازہ درحقیقت کیا کرتا ہے اور صرف انکار کرنے والے دروازے کو کیسے بدلا جائے۔

چار دروازے مقررہ ترتیب میں

گیٹ وے پہلے فیصلہ کرتا ہے کہ شناخت سرنگ بنا سکتی ہے یا نہیں: RADIUS پالیسی، گروپ شرط، سرٹیفکیٹ کی جانچ، Access Server کی اجازت۔ پھر روٹنگ اور فائر وال فیصلہ کرتے ہیں کہ سرنگ کے تالاب سے آیا پیکٹ منزل کے TCP 3389 سننے والے تک پہنچتا ہے یا نہیں۔ پھر کلائنٹ کا NLA مصافحہ منزل کے سامنے اکاؤنٹ کی تصدیق کرتا ہے۔ ان تینوں کے بعد ہی مقامی سلامتی اتھارٹی جانچتی ہے کہ اکاؤنٹ کے پاس وہ لاگ اون حق ہے جو انٹرایکٹو ریموٹ سیشن مانگتا ہے۔

چونکہ ترتیب مقررہ ہے، ہر دروازہ اپنے پیچھے والے دروازے چھپاتا ہے۔ ناکام سرنگ روٹنگ کے بارے میں کچھ نہیں کہتی؛ بند پورٹ لاگ اون حق کے بارے میں کچھ نہیں کہتا؛ کامیاب پورٹ ٹیسٹ داخلے کے بارے میں کچھ نہیں کہتا۔ اسی لیے «VPN کام کرتا ہے مگر RDP نہیں» ایک مسئلہ نہیں بلکہ ان دروازوں میں سے دو کے درمیان حد ہے، اور اسی لیے خرابی کا متن سب سے تیز طریقہ ہے یہ جاننے کا کہ آپ کس سے ٹکرائے۔

وہ حق جو سیشن کو واقعی مسترد کرتا ہے

ریموٹ ڈیسک ٹاپ پر لاگ ان کے لیے صارف کا حق ریموٹ ڈیسک ٹاپ سروسز کے ذریعے لاگ ان کی اجازت دیں، یعنی SeRemoteInteractiveLogonRight درکار ہے۔ یہ لاگ ان کے وقت جانچا جاتا ہے، سرنگ بناتے وقت نہیں، اس لیے اکاؤنٹ گھنٹوں نیٹ ورک میں گھوم سکتا ہے اور پھر بھی ڈیسک ٹاپ سے محروم رہ سکتا ہے۔ اسے دکھانے والا ڈائیلاگ مقامی پالیسیاں، صارف حقوق کی تفویض کے تحت ہے، اور ڈومین کا متبادل GPO میں ہے۔

طے شدہ رکنیت مشین کے کردار پر منحصر ہے: ورک سٹیشن اور رکن سرور یہ Administrators اور Remote Desktop Users کو دیتے ہیں، جبکہ ڈومین کنٹرولر صرف Administrators کو دیتا ہے۔ یہی ایک حقیقت زیادہ تر الجھن کی وضاحت کرتی ہے، کیونکہ وہی اکاؤنٹ فائل سرور پر کامیاب اور DC پر ناکام ہوتا ہے۔ انکار کا حق گروپ رکنیت سے قطع نظر متعلقہ اجازت کے حق کو ہرا دیتا ہے، اس لیے جس اکاؤنٹ کو اجازت اور انکار دونوں ہوں وہ مسترد ہوتا ہے۔ وسیع انکار گروپ احسان کے طور پر شامل کردہ منتظم کو بھی پکڑ سکتا ہے۔

موثر پالیسی پڑھیں، مقامی ڈائیلاگ نہیں

مقامی پالیسی کو کوئی بھی ڈومین GPO جو وہی حق متعین کرے، تحریراً بدل دیتی ہے، اس لیے مقامی اسنیپ اِن درست دکھنے والی فہرست دکھا سکتا ہے جبکہ موثر حالت مختلف ہو۔ برآمد کریں کہ مشین واقعی کیا لاگو کرتی ہے، پھر حق تلاش کریں اور دکھائے گئے ناموں کی بجائے SID پڑھیں:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

اس آؤٹ پٹ میں *S-1-5-32-544 یعنی Administrators اور *S-1-5-32-555 یعنی Remote Desktop Users ہیں۔

اگر دونوں میں سے کوئی نظر نہ آئے، تو مقامی صارفین اور گروپس کا ڈائیلاگ کچھ بھی تجویز کرے، پالیسی کے مالک کے سوا کوئی ڈیسک ٹاپ نہیں کھول سکتا۔ پھر gpresult جیتنے والی GPO کا نام لیتا ہے، اور وہی وہ شے ہے جسے آپ کو ترمیم کرنا ہے؛ ڈومین سے منسلک مشین پر مقامی پالیسی بدلنا ایک آزمائش ہے، حل نہیں۔

سب سے تنگ موزوں حق دیں

عام جواب منزل پر Remote Desktop Users گروپ ہے۔ یہ طے شدہ طور پر حق رکھتا ہے، Administrators سے بہت چھوٹا ہے، اور «ڈیسک ٹاپ کھول سکتا ہے» کو «سرور کا انتظام کر سکتا ہے» سے الگ کرتا ہے۔ جہاں پالیسی نے حق واضح طور پر دوبارہ تقسیم کیا ہے، وہاں ایسا گروپ شامل کرنے کی بجائے جسے کسی نے رسائی کنٹرول کے طور پر نہیں سوچا تھا، وہی گروپ یا اکاؤنٹ اس پالیسی میں شامل کریں۔

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

کچھ بھی شامل کرنے سے پہلے انکار کی فہرست جانچیں۔ اگر انکار کا حق ایسے گروپ کا نام لے جس میں صارف ہے، تو درست تبدیلی اکاؤنٹ کو اس گروپ سے نکالنا یا انکار کو تنگ کرنا ہے، کہیں اور دوسری اجازت شامل کرنا نہیں۔ لکھیں کہ آپ نے کون سا حق اور کہاں بدلا، کیونکہ بعد میں GPO ریفریش خاموشی سے پچھلی حالت بحال کر دے گا اور ٹکٹ اسی پیغام کے ساتھ دوبارہ کھل جائے گا۔

نیٹ ورک راستے کو الگ فیصلہ رکھیں

VPN گروپ کو ہر پورٹ تک پہنچنے کی ضرورت نہیں۔ جب گروپ کو ڈیسک ٹاپ نہیں بلکہ ایپلیکیشن چاہیے، سرنگ کے تالاب اور ایپلیکیشن پورٹ تک محدود فائر وال اصول اس پالیسی کو نافذ کرتا ہے، جبکہ لاگ اون حق اچھوتا رہتا ہے۔

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN کی اپنی فی کلائنٹ ترتیب اور Access Server گروپ اجازتیں اسی روح میں منزل کے سابقے محدود کر سکتی ہیں؛ ان میں سے کوئی Windows لاگ اون حق نہیں دیتا، اور لاگ اون حق پورٹ نہیں کھول سکتا۔ انہیں الگ تبدیلی ونڈوز میں رکھیں، کیونکہ پورٹ اصول اور حق مختلف لوگ منظور کرتے ہیں۔

اسی ترتیب میں تصدیق کریں جس میں دروازے لاگو ہوتے ہیں: اکاؤنٹ سرنگ بنا سکتا ہے، سیشن سننے والے تک پہنچتا ہے، کلائنٹ تصدیق کرتا ہے اور اکاؤنٹ کے پاس حق ہے۔ پورٹ ٹیسٹ کامیاب ہونے پر ناکام ping وہ فائر وال ہے جو ICMP کو مختلف انداز میں جواب دیتا ہے، RDP بند ہونے کا ثبوت نہیں۔ Microsoft کا لاگ اون حق کا حوالہ مشین کے کردار کے مطابق طے شدہ اقدار اور یہ اصول درج کرتا ہے کہ انکار اجازت پر غالب ہے۔