RDP thay đổi máy khách: vì sao cơ sở dữ liệu thấy một máy chủ khác

Quy tắc VPN của bạn từ chối cơ sở dữ liệu và phiếu yêu cầu bị đóng như một lỗi tường lửa, trong khi cùng người dùng đó mở một desktop đã xuất bản và truy vấn cơ sở dữ liệu ấy không gặp trở ngại. Cả hai phát biểu đều đúng. Desktop là một máy khách khác, có địa chỉ riêng trên một phân đoạn mà các quy tắc đã tin cậy, và có danh tính riêng khi nó kết nối tiếp. Điều trông như một quy tắc mâu thuẫn thường là yêu cầu thứ hai mà không ai đưa vào bản rà soát.

Yêu cầu thứ hai có địa chỉ máy khách riêng

Khi một ứng dụng bên trong phiên mở kết nối tới cơ sở dữ liệu, bắt tay TCP bắt đầu tại máy chủ của phiên. Địa chỉ nguồn của nó thuộc mạng của máy chủ đó, nên mỗi bộ định tuyến và tường lửa cơ sở dữ liệu trên đường đi đánh giá phân đoạn của desktop chứ không phải bể đường hầm mà laptop của bạn đi ra. Địa chỉ VPN không bao giờ xuất hiện trong luồng đó. Vì thế một quy tắc từ chối dựa trên nguồn có thể vừa đúng vừa không liên quan cùng lúc.

Hãy đọc nguồn gốc từ bên trong phiên chứ không phải từ laptop, rồi kiểm tra đường đi tiếp theo từ cùng chỗ đó. Hai câu trả lời phải thống nhất về việc máy chủ nào đang gửi yêu cầu.

whoami
ipconfig /all
Test-NetConnection db01.corp.internal -Port 5432

So sánh điều phiên báo cáo với địa chỉ mà cơ sở dữ liệu đã ghi cho cùng thời điểm. Khi nhật ký máy chủ cho thấy subnet của desktop thay vì bể đường hầm, câu hỏi không còn là quy tắc có kích hoạt hay không mà trở thành máy chủ nào đã gửi yêu cầu. Đó là một cuộc điều tra khác với một người phụ trách khác.

Danh tính cũng thay đổi cùng với cách đánh địa chỉ

Kết nối tiếp theo thường xác thực bằng token của phiên, thông tin đăng nhập đã lưu hoặc tài khoản dịch vụ của ứng dụng, và tài nguyên ghi lại thứ nó được cấp. Vì thế một dấu vết kiểm toán cho thấy tài khoản dịch vụ trên cơ sở dữ liệu không chứng minh rằng con người đã chạy truy vấn. Nó cũng không nhận diện con người đó. Chỉ nhật ký phiên của chính desktop mới nối hai bản ghi ấy lại.

Việc cấp quyền diễn ra hai lần, và quyết định thứ hai được đưa ra với đầu vào khác. Lần đầu cấp đăng nhập desktop cho một người dùng được nêu tên, lần thứ hai cấp điều mà token của người đó hoặc tài khoản của ứng dụng có thể làm với tài nguyên. Một nhóm hỗ trợ được phép mở desktop không tự động là nhóm được phép đọc bảng khách hàng.

Hãy xem token và đường ủy quyền trước khi viết ghi chú truy cập. Cả hai đều nhìn thấy được từ bên trong phiên, và đó là nơi duy nhất câu trả lời không phải phỏng đoán.

whoami /groups
klist
query session

Nếu ứng dụng dùng tài khoản dịch vụ, chính quyền của nó mới là điều quan trọng về sau. Việc luân chuyển thông tin đăng nhập đó thuộc về rà soát truy cập, không phải suy nghĩ vận hành sau đó.

Vì sao đường trực tiếp vẫn bị chặn, và đúng là như vậy

Quy tắc từ chối không sai chỉ vì đích đến có thể tới bằng cách khác. Phân đoạn được đánh giá theo từng nguồn, và desktop nằm trên một phân đoạn đã được cho phép từ lâu trước khi ai đó nghĩ tới nó như đường tới cơ sở dữ liệu. Không có gì vượt qua chính sách. Chính sách chỉ mô tả hai nguồn khác nhau với hai kết quả khác nhau.

Điều bản rà soát phải trả lời là mỗi phiên được cấp quyền trên máy chủ đó có thể khởi chạy những gì. Trình duyệt có phiên đã lưu, ổ đĩa được ánh xạ, tác nhân giữ thông tin đăng nhập và dịch vụ lắng nghe cục bộ đều mở rộng tầm với của desktop, và không thứ nào trong đó xuất hiện trên phiếu đã cấp đăng nhập. Bản kiểm kê ấy chính là bề mặt quyền thực sự.

Hãy liệt kê nó từ bên trong một phiên thử nghiệm, không phải từ bảng tính. Vài lệnh đã bao phủ phần lớn bề mặt.

Get-NetTCPConnection -State Listen | Select-Object LocalAddress,LocalPort,OwningProcess
net use
Get-ChildItem Env: | Where-Object Name -match 'PROXY|DATABASE|API'

Hãy chọn ranh giới một cách có chủ đích

Ba hình thức phù hợp với các nhiệm vụ khác nhau, và lựa chọn nên theo nhiệm vụ chứ không phải công cụ tình cờ có sẵn. Ứng dụng đã xuất bản phơi ra một chương trình với quyền riêng, desktop đầy đủ phơi ra mọi thứ hồ sơ người dùng có thể làm, và một tài khoản cơ sở dữ liệu hẹp có giới hạn nguồn phơi ra một tài nguyên mà không cần desktop nào. Hình thức hẹp nhất mà vẫn hoàn thành công việc là thứ cần ghi lại. Bất cứ điều gì rộng hơn đều cần một lý do viết kèm bên cạnh.

Với một báo cáo, ứng dụng đã xuất bản hoặc tài khoản hạn chế là một cấp quyền nhỏ hơn desktop thông thường. Với công việc bảo trì thực sự cần nhiều công cụ, desktop có thể đúng, nhưng khi đó phê duyệt mô tả toàn bộ máy chủ chứ không phải một ứng dụng. Hãy hỏi chủ sở hữu tài nguyên xem họ đồng ý với phương án nào.

Việc di chuyển dữ liệu là một công tắc riêng. Clipboard, chuyển hướng ổ đĩa và tải xuống có thể mang dữ liệu công ty tới máy khách, và chạy ứng dụng từ xa tự nó không giữ dữ liệu ở xa.

Hãy kiểm tra cả hai phê duyệt và đường gỡ bỏ

Hai phê duyệt thuộc về hồ sơ: quyền tiếp cận và mở desktop, và quyền dùng tài nguyên từ bên trong nó. Hãy nêu một chủ sở hữu cho mỗi loại và giữ loại thứ hai hiển thị với bất kỳ ai rà soát tài nguyên. Chính mục thứ hai là thứ một kiểm toán viên sẽ hỏi, vì nó mô tả tầm với chứ không phải lối vào. Hãy viết cả hai trước khi thay đổi được phê duyệt, không phải sau sự cố đầu tiên.

Sau đó hãy thử gỡ bỏ, vì một phiên bị ngắt có thể sống lâu hơn lý do của nó. Bảng phiên là nơi nhanh nhất để xem còn gì đang chạy.

query session
query user
qwinsta /server:rdsh01.corp.internal

Ngắt kết nối máy khách để phiên từ xa tiếp tục chạy, và các kết nối mạng cùng thông tin đăng nhập được lưu trong bộ nhớ đệm có thể vẫn dùng được cho tới khi phiên đó kết thúc. Hãy đăng xuất, hoặc kết thúc phiên một cách rõ ràng, và xác nhận rằng bộ đếm phía sau ngừng tiến sau đó. Một bài kiểm tra gỡ bỏ chỉ đóng nắp laptop không chứng minh được gì. Hãy chạy cùng bài kiểm tra đó một lần với tài khoản bị vô hiệu hóa và một lần với quyền desktop bị thu hồi, rồi ghi lại những gì tài nguyên đã ghi nhật ký trong mỗi trường hợp.