Thêm quy tắc cho phép RDP không thu hẹp quyền truy cập VPN của bạn

Kế hoạch nghe có lý: giữ nguyên quyền cho phép Remote Desktop hiện có và thêm một quyền nhỏ cho khách hàng VPN duy nhất cần được truy cập. Windows Firewall không hoạt động như vậy. Các quy tắc không phải danh sách có thứ tự nơi mục cụ thể nhất thắng, và một quyền hẹp bên cạnh quyền rộng không thay đổi gì, vì quyền rộng vẫn cho vào mọi người mà nó đã cho vào. Thu hẹp dịch vụ nghĩa là chỉnh sửa quyền đang làm việc đó.

Quy tắc bạn thêm không phải quy tắc quan trọng

Windows Firewall đánh giá mọi quy tắc gửi đến áp dụng được trong các kho chính sách áp dụng cho máy, rồi quyết định xem có quyền nào khớp và có chặn nào ghi đè nó không. Thêm quy tắc là thêm quyền; nó không xóa hay thu hẹp các quyền đã có.

Vì vậy câu hỏi không bao giờ là bạn đã thêm gì. Mà là chính sách hiệu lực chứa gì sau khi chính sách cục bộ, chính sách miền và giá trị mặc định của hồ sơ được hợp nhất. Một máy trạm có một quy tắc cục bộ thì dễ suy luận; một máy chủ tham gia miền thì không.

Đó cũng là lý do một quản trị viên có thể thực hiện thay đổi trông có vẻ đúng, thử nó từ máy sai và kết luận rằng nó đã hiệu quả. Nguồn bị loại trừ chưa bao giờ được kiểm tra. Một bài kiểm tra chỉ chứng minh thành công chứng minh ít hơn một nửa mục đích của thay đổi.

Tìm ra địa chỉ mà máy chủ thấy

Trước khi giới hạn bất cứ điều gì, hãy quan sát một phiên được phép trên máy chủ Windows và ghi lại địa chỉ nguồn mà máy chủ báo cáo. Đó không phải lúc nào cũng là địa chỉ mà máy khách nghĩ mình có.

Nếu cổng VPN giữ nguyên địa chỉ máy khách, máy chủ thấy địa chỉ đường hầm của máy khách, và một quy tắc giới hạn theo địa chỉ là có ý nghĩa. Nếu cổng biên dịch địa chỉ, mọi máy khách đến dưới địa chỉ của cổng, và giới hạn theo địa chỉ đó trao quyền truy cập cho mọi máy khách phía sau nó. Khi đó quy tắc chính xác về điều sai.

Hai thiết kế này cần những câu trả lời khác nhau. Cái đầu có thể diễn đạt trong một quy tắc tường lửa; cái thứ hai phải được thực thi ở nơi danh tính còn tồn tại, tức là trong chính VPN hoặc trong một cổng đã xác thực trước dịch vụ.

Bộ lọc tường lửa không thể khôi phục danh tính mà phép biên dịch địa chỉ mạng đã bỏ đi, dù địa chỉ được gõ cẩn thận đến đâu.

Thay đổi chủ sở hữu của quy tắc hiệu lực

Kiểm tra chính sách gửi đến hiệu lực và tìm mọi quy tắc hiện đang cho phép lưu lượng RDP, kể cả những quy tắc mà tên hiển thị không bao giờ nhắc đến cổng 3389. Các quy tắc giới hạn theo dịch vụ và theo ứng dụng cũng được tính, cũng như giao thức vận chuyển UDP mà một số triển khai RDP bật.

Sau đó chỉnh sửa các quy tắc hiện có thông qua kho lưu trữ sở hữu chúng. Một chỉnh sửa cục bộ đối với quy tắc mà chính sách miền cũng định nghĩa có thể được hợp nhất, bị bỏ qua hoặc bị ghi đè, và đáng để biết trường hợp nào xảy ra trước khi dựa vào nó.

Các lệnh này tìm các quy tắc đang hoạt động, hiển thị bộ lọc địa chỉ gắn với một trong số đó và xem trước thay đổi phạm vi:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

Tên quy tắc ở đây là chỗ giữ chỗ cho những gì bản rà soát tìm thấy, và cờ xem trước tồn tại để một lỗi gõ trong địa chỉ không khóa bạn ra khỏi máy chủ bạn đang chỉnh sửa.

Chặn trước rồi cho phép là một mô hình khác

Thói quen từ các tường lửa khác là viết một chặn rộng rồi đặt một cho phép hẹp lên trên. Trong Windows, một chặn rõ ràng thường thắng một cho phép, nên thứ tự đó tạo ra một dịch vụ không ai chạm tới được thay vì một ngoại lệ cho một máy khách. Kết quả là một gián đoạn trông như dịch vụ RDP hỏng. Thực ra đó là lỗi thứ tự ưu tiên, và cách sửa là bỏ chặn chứ không phải thêm một cho phép nữa.

Giữ hành vi chặn gửi đến mặc định trên các hồ sơ đang hoạt động và thay vào đó thu hẹp các cho phép cụ thể. Điều đó để máy ở một tư thế dễ hiểu thay vì hai quy tắc mâu thuẫn mà tương tác của chúng phụ thuộc vào chi tiết ưu tiên.

Chứng minh bằng nguồn thứ hai

Thử từ máy khách được phép và từ một nguồn mà giờ đây phải thất bại. Một kết nối thành công chỉ chứng minh đường được phép hoạt động; nó không nói gì về việc loại trừ bạn vừa làm.

Lặp lại bài kiểm tra qua IPv6 nếu máy chủ bật nó, vì ý định chỉ dành cho IPv4 có thể cùng tồn tại với một quyền IPv6 rộng mà không ai nhìn tới.

Cuối cùng, giữ xác thực tách khỏi khả năng tiếp cận. Xác thực cấp mạng, quyền tài khoản và hạn chế đăng nhập vẫn quyết định ai được dùng phiên, và tường lửa chỉ quyết định ai được hỏi. Việc gỡ một thiết bị sau này nên gỡ cả đăng ký VPN của nó và quyền mạng này, nếu không địa chỉ bạn đã giới hạn sẽ thuộc về người khác vào một ngày nào đó.