RDP uchun ruxsat qoidasini qo'shish VPN kirishingizni toraytirmaydi

Reja oqilona tuyuladi: mavjud masofaviy ish stoli ruxsatini o'z holicha qoldiring va kirish huquqiga ega bo'lishi kerak bo'lgan yagona VPN mijozi uchun kichik ruxsat qo'shing. Windows Firewall bunday ishlamaydi. Qoidalar eng aniq yozuv g'olib bo'ladigan tartiblangan ro'yxat emas va keng ruxsatning yonidagi tor ruxsat hech narsani o'zgartirmaydi, chunki keng ruxsat avval ruxsat berganlarning barchasiga hali ham ruxsat beradi. Xizmatni toraytirish allaqachon ishni bajarayotgan ruxsatni tahrirlash demakdir.

Siz qo'shayotgan qoida muhim qoida emas

Windows Firewall mashinaga tegishli siyosat omborlaridagi barcha tegishli kiruvchi qoidalarni baholaydi, so'ngra biron ruxsat mos keladimi va biron blok uni bekor qiladimi, deb qaror qiladi. Qoida qo'shish ruxsat qo'shadi; u mavjud ruxsatlarni olib tashlamaydi yoki aniqlashtirmaydi.

Shuning uchun savol hech qachon nima qo'shganingiz haqida emas. Savol mahalliy siyosat, domen siyosati va profil standart qiymatlari birlashtirilgandan keyin samarali siyosat nima o'z ichiga oladi deganidir. Bitta mahalliy qoidali ish stantsiyasini o'ylab ko'rish oson; domenga ulangan serverni esa emas.

Shuning uchun administrator to'g'ri ko'rinadigan o'zgartirish kiritishi, uni noto'g'ri mashinadan sinab ko'rishi va u ishladi degan xulosaga kelishi mumkin. Chetlab o'tilgan manba hech qachon sinovdan o'tkazilmagan. Faqat muvaffaqiyatni isbotlaydigan sinov o'zgartirish maqsadining yarmidan kamini isbotlaydi.

Server qaysi manzilni ko'rishini aniqlang

Biror narsani cheklashdan oldin Windows xostida bitta ruxsat berilgan seansni kuzating va server bildiradigan manba manzilini yozib oling. Bu har doim mijoz o'zida deb hisoblaydigan manzil emas.

Agar VPN shlyuzi mijoz manzillarini saqlasa, server mijozning tunnel manzilini ko'radi va manzil bilan cheklangan qoida mazmunli bo'ladi. Agar shlyuz manzillarni o'girsa, har bir mijoz shlyuz manzili sifatida keladi va shu manzilga cheklash uning orqasidagi har bir mijozga kirish beradi. Unda qoida noto'g'ri narsa haqida aniq bo'ladi.

Bu ikki loyiha turli javoblarni talab qiladi. Birinchisini tarmoq ekrani qoidasida ifodalash mumkin; ikkinchisini identifikatsiya hali mavjud joyda, ya'ni VPN ning o'zida yoki xizmat oldidagi autentifikatsiyalangan shlyuzda amalga oshirish kerak.

Tarmoq ekrani filtri tarmoq tarjimasi tashlab yuborgan identifikatsiyani qaytara olmaydi, manzil qanchalik ehtiyotkorlik bilan yozilgan bo'lmasin.

Samarali qoidaning egasini o'zgartiring

Samarali kiruvchi siyosatni tekshirib chiqing va hozir RDP trafigiga ruxsat berayotgan har bir qoidani toping, ko'rinadigan nomida 3389 porti hech qachon tilga olinmaydigan qoidalar ham. Xizmat va ilova bilan cheklangan qoidalar ham hisobga olinadi, ba'zi RDP joylashuvlari yoqadigan UDP transporti ham.

So'ngra mavjud qoidalarni ularga tegishli ombor orqali tahrirlang. Domen siyosati ham belgilaydigan qoidaga mahalliy o'zgartirish birlashtirilishi, e'tiborsiz qoldirilishi yoki ustidan yozilishi mumkin va unga tayanishdan oldin qaysi biri sodir bo'lishini bilish foydali.

Bu buyruqlar faol qoidalarni topadi, ulardan biriga biriktirilgan manzil filtrini ko'rsatadi va qamrov o'zgarishini oldindan ko'rsatadi:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Bu yerdagi qoida nomlari ko'rik topgan narsalarning o'rinbosarlari, oldindan ko'rish belgisi esa manzildagi xatolik sizni tahrirlayotgan serverdan tashqarida qulflab qo'ymasligi uchun mavjud.

Avval bloklash, keyin ruxsat berish boshqa model

Boshqa tarmoq ekranlaridan kelgan odat keng blok yozib, ustiga tor ruxsat qo'yishdir. Windows ta aniq blok odatda ruxsatdan ustun keladi, shuning uchun bunday tartib bitta mijoz uchun istisno o'rniga hech kim yeta olmaydigan xizmat yaratadi. Natija buzilgan RDP xizmatiga o'xshaydigan to'xtashdir. Bu aslida ustuvorlik xatosi va tuzatish — yana bir ruxsat qo'shish emas, blokni olib tashlash.

Faol profillarda standart kiruvchi bloklash xatti-harakatini saqlang va buning o'rniga aniq ruxsatlarni toraytiring. Bu mashinani bir-biriga zid ikki qoida o'rniga bitta tushunarli holatda qoldiradi, ularning o'zaro ta'siri ustuvorlik tafsilotlariga bog'liq.

Ikkinchi manba bilan isbotlang

Ruxsat berilgan mijozdan va endi muvaffaqiyatsiz bo'lishi kerak bo'lgan manbadan sinab ko'ring. Bitta muvaffaqiyatli ulanish faqat ruxsat berilgan yo'l ishlashini isbotlaydi; hozir qilgan istisno haqida hech narsa demaydi.

Serverda yoqilgan bo'lsa, sinovni IPv6 orqali takrorlang, chunki faqat IPv4 uchun mo'ljallangan niyat hech kim qaramagan keng IPv6 ruxsati bilan birga mavjud bo'lishi mumkin.

Nihoyat, autentifikatsiyani yetib borish imkoniyatidan alohida saqlang. Tarmoq darajasidagi autentifikatsiya, hisob huquqlari va kirish cheklovlari hali ham seansdan kim foydalanishi mumkinligini hal qiladi, tarmoq ekrani esa faqat kim so'rashi mumkinligini hal qiladi. Qurilmani keyinroq olib tashlash uning VPN ro'yxatga olinishini ham, bu tarmoq ruxsatini ham olib tashlashi kerak, aks holda siz cheklagan manzil bir kun boshqasiga tegishli bo'ladi.