VPN orqali masofaviy ish stoli huquqlarisiz kirish: to‘rtta alohida darvoza

Foydalanuvchi VPN’ga ulanadi, fayl almashinuvi va ichki ilovani ochadi, so‘ngra RDP urinishi «foydalanuvchi hisobi masofadan kirishga vakolatli emas» deb qaytaradi. Bu xabarda tunnel bilan bog‘liq hech narsa noto‘g‘ri emas. VPN hisobi va interaktiv ish stoli o‘rtasida to‘rtta mustaqil darvoza bor va uni faqat oxirgisi yaratgan. Odamlar odatda hisobni Administrators’ga qo‘shib javob beradi, bu ish stolidan ancha ko‘p huquq beradi va guruh siyosati taqiqlasa darvozani tuzatmaydi. Mana, har bir darvoza aslida nima qiladi va faqat rad etuvchi darvozani qanday o‘zgartirish kerak.

To‘rtta darvoza qat’iy tartibda

Darvoza avval shaxs tunnel qura oladimi-yo‘qmi, shuni hal qiladi: RADIUS siyosati, guruh sharti, sertifikat tekshiruvi, Access Server ruxsati. So‘ngra marshrutlash va firewall’lar tunnel havzasidan kelgan paket manzilning TCP 3389 tinglovchisiga yetib boradimi-yo‘qmi, shuni hal qiladi. So‘ngra klientning NLA qo‘l berib ko‘rishishi hisobni manzil oldida autentifikatsiya qiladi. Ana shu uchtadan keyingina mahalliy xavfsizlik organi hisobda interaktiv masofaviy sessiya talab qiladigan kirish huquqi bor-yo‘qligini tekshiradi.

Tartib qat’iy bo‘lgani uchun har bir darvoza orqadagilarni yashiradi. Muvaffaqiyatsiz tunnel marshrutlash haqida hech narsa demaydi; bloklangan port kirish huquqi haqida hech narsa demaydi; muvaffaqiyatli port sinovi qabul haqida hech narsa demaydi. Shuning uchun «VPN ishlaydi, lekin RDP ishlamaydi» bitta muammo emas, bu darvozalardan ikkitasi orasidagi chegara, va shuning uchun xato matni qaysi darvozaga urilganingizni bilishning eng tez usuli.

Sessiyani aslida rad etuvchi huquq

Masofaviy ish stoliga kirish uchun Masofaviy ish stoli xizmatlari orqali kirishga ruxsat berish foydalanuvchi huquqi, ya’ni SeRemoteInteractiveLogonRight talab qilinadi. U kirish paytida tekshiriladi, tunnel qurish paytida emas, shuning uchun hisob soatlab tarmoqda aylanib yurishi va baribir ish stolidan rad etilishi mumkin. Uni ko‘rsatadigan dialog Mahalliy siyosatlar, Foydalanuvchi huquqlarini tayinlash bo‘limida, domen ekvivalenti esa GPO’da.

Standart a’zolik mashinaning rolidan kelib chiqadi: ish stansiyalari va a’zo serverlar uni Administrators va Remote Desktop Users’ga beradi, domen kontrolleri esa faqat Administrators’ga beradi. Ana shu bir fakt chalkashlikning katta qismini tushuntiradi, chunki bir xil hisob fayl serverida muvaffaqiyatli, DC’da esa muvaffaqiyatsiz bo‘ladi. Rad etish huquqi guruh a’zoligidan qat’i nazar tegishli ruxsat huquqini yengadi, shuning uchun bir vaqtda ruxsat va rad etish berilgan hisob rad etiladi. Keng rad etish guruhi yaxshilik uchun qo‘shilgan administratorni ham ushlashi mumkin.

Amaldagi siyosatni o‘qing, mahalliy dialog emas

Mahalliy siyosatni xuddi shu huquqni belgilaydigan har qanday domen GPO’si qayta yozadi, shuning uchun mahalliy snap-in to‘g‘ri ko‘rinadigan ro‘yxatni ko‘rsatishi mumkin, ammo amaldagi holat boshqacha. Mashina aslida qo‘llaydigan narsani eksport qiling, so‘ng huquqni qidiring va ko‘rsatilgan nomlar o‘rniga SID’larni o‘qing:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Bu chiqishda *S-1-5-32-544 — Administrators, *S-1-5-32-555 esa Remote Desktop Users.

Agar ikkalasi ham ko‘rinmasa, mahalliy Foydalanuvchilar va Guruhlar dialogi nima taklif qilsa ham, siyosat egasidan boshqa hech kim ish stolini ocholmaydi. So‘ngra gpresult g‘olib bo‘lgan GPO’ni nomlaydi va tahrirlashingiz kerak bo‘lgan obyekt ana shu; domenga ulangan mashinada mahalliy siyosatni o‘zgartirish sinov, tuzatish emas.

Mos keladigan eng tor huquqni bering

Odatiy javob — manzildagi Remote Desktop Users guruhi. U huquqni standart bo‘yicha olib yuradi, Administrators’dan ancha kichik va «ish stolini ocha oladi» bilan «serverni boshqara oladi»ni ajratadi. Siyosat huquqni aniq qayta taqsimlagan joyda, hech kim kirish nazorati deb o‘ylamagan guruhni qo‘shish o‘rniga o‘sha guruh yoki hisobni o‘sha siyosatga qo‘shing.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Biror narsa qo‘shishdan oldin rad etishlar ro‘yxatini tekshiring. Agar rad etish huquqi foydalanuvchini o‘z ichiga olgan guruhni nomlasa, to‘g‘ri o‘zgartirish hisobni o‘sha guruhdan chiqarish yoki rad etishni toraytirish, boshqa joyga ikkinchi ruxsat qo‘shish emas. Qaysi huquqni va qayerda o‘zgartirganingizni yozib qo‘ying, chunki keyingi GPO yangilanishi oldingi holatni jimgina tiklaydi va chipta xuddi shu xabar bilan qayta ochiladi.

Tarmoq yo‘lini alohida qaror sifatida saqlang

VPN guruhi har bir portga yetishi shart emas. Guruhga ish stoli emas, ilova kerak bo‘lganda, tunnel havzasi va ilova porti bilan cheklangan firewall qoidasi o‘sha siyosatni amalga oshiradi, kirish huquqi esa tegilmagan holda qoladi.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

OpenVPN’ning har bir klient uchun konfiguratsiyasi va Access Server guruh ruxsatlari manzil prefikslarini xuddi shu ruhda cheklashi mumkin; ularning hech biri Windows kirish huquqini bermaydi va kirish huquqi portni ocholmaydi. Ularni alohida o‘zgartirish oynalarida saqlang, chunki port qoidasi va huquqni turli odamlar tasdiqlaydi.

Darvozalar amal qiladigan tartibda tekshiring: hisob tunnel qura oladimi, sessiya tinglovchiga yetadimi, klient autentifikatsiya qiladimi va hisobda huquq bormi. Port sinovi muvaffaqiyatli bo‘lganda muvaffaqiyatsiz ping ICMP’ga boshqacha javob beradigan firewall, RDP bloklanganining dalili emas. Microsoft’ning kirish huquqi haqidagi ma’lumotnomasi mashina roli bo‘yicha standartlarni va rad etish ruxsatdan ustunligi qoidasini sanab o‘tadi.