Truy cập VPN không có quyền desktop từ xa: bốn cổng riêng biệt

Một người dùng kết nối VPN, mở chia sẻ tệp và ứng dụng nội bộ, rồi một lần thử RDP trả về «tài khoản người dùng không được phép đăng nhập từ xa». Trong thông báo đó không có gì sai với đường hầm. Bốn cổng độc lập nằm giữa tài khoản VPN và desktop tương tác, và chỉ cổng cuối cùng tạo ra nó. Mọi người thường phản ứng bằng cách thêm tài khoản vào Administrators, điều này cấp nhiều hơn desktop rất nhiều và không sửa được cổng nếu Chính sách nhóm từ chối nó. Đây là những gì mỗi cổng thực sự làm, và cách chỉ thay đổi cổng đang từ chối.

Bốn cổng theo một thứ tự cố định

Cổng vào trước tiên quyết định danh tính có được thiết lập đường hầm hay không: chính sách RADIUS, điều kiện nhóm, kiểm tra chứng chỉ, quyền Access Server. Sau đó định tuyến và tường lửa quyết định gói từ nhóm đường hầm có đến được trình lắng nghe TCP 3389 của đích hay không. Sau đó bắt tay NLA của máy khách xác thực tài khoản với đích. Chỉ sau ba bước đó, cơ quan bảo mật cục bộ mới kiểm tra tài khoản có quyền đăng nhập mà phiên từ xa tương tác yêu cầu hay không.

Vì thứ tự cố định, mỗi cổng che giấu những cổng phía sau. Một đường hầm thất bại không nói gì về định tuyến; một cổng bị chặn không nói gì về quyền đăng nhập; một bài kiểm tra cổng thành công không nói gì về việc được chấp nhận. Đó là lý do «VPN hoạt động nhưng RDP thì không» không phải một vấn đề mà là ranh giới giữa hai trong số các cổng này, và đó là lý do văn bản lỗi là cách nhanh nhất để biết bạn đã gặp cổng nào.

Quyền thực sự từ chối phiên

Đăng nhập vào desktop từ xa yêu cầu quyền người dùng Cho phép đăng nhập qua Dịch vụ Desktop từ xa, tức là SeRemoteInteractiveLogonRight. Quyền này được kiểm tra khi đăng nhập, không phải khi thiết lập đường hầm, nên một tài khoản có thể duyệt mạng hàng giờ mà vẫn bị từ chối desktop. Hộp thoại hiển thị nó nằm trong Chính sách cục bộ, Gán quyền người dùng, và tương đương miền nằm trong một GPO.

Tư cách thành viên mặc định phụ thuộc vào vai trò của máy: máy trạm và máy chủ thành viên cấp quyền này cho Administrators và Remote Desktop Users, trong khi bộ điều khiển miền chỉ cấp cho Administrators. Riêng sự thật đó giải thích phần lớn sự nhầm lẫn, vì cùng một tài khoản thành công trên máy chủ tệp và thất bại trên DC. Quyền từ chối thắng quyền cho phép tương ứng bất kể tư cách thành viên nhóm, nên tài khoản vừa được cho phép vừa bị từ chối sẽ bị từ chối. Một nhóm từ chối rộng có thể bắt được quản trị viên được thêm vào như một ân huệ.

Đọc chính sách hiệu lực, không phải hộp thoại cục bộ

Chính sách cục bộ bị ghi đè bởi bất kỳ GPO miền nào định nghĩa cùng quyền, nên snap-in cục bộ có thể hiển thị danh sách trông đúng trong khi trạng thái hiệu lực lại khác. Xuất những gì máy thực sự áp dụng, sau đó tìm quyền và đọc SID thay vì tên hiển thị:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Trong đầu ra đó, *S-1-5-32-544 là Administrators và *S-1-5-32-555 là Remote Desktop Users.

Nếu không cái nào xuất hiện, không ai ngoài người giữ chính sách có thể mở desktop, bất kể hộp thoại Người dùng và Nhóm cục bộ gợi ý gì. Sau đó gpresult nêu tên GPO đã thắng, và đó là đối tượng bạn phải chỉnh sửa; thay đổi chính sách cục bộ trên máy đã tham gia miền là một bài kiểm tra, không phải bản sửa lỗi.

Cấp quyền hẹp nhất phù hợp

Câu trả lời thông thường là nhóm Remote Desktop Users trên đích. Nhóm này mang quyền theo mặc định, nhỏ hơn Administrators nhiều và tách «có thể mở desktop» khỏi «có thể quản lý máy chủ». Ở nơi chính sách đã phân bổ lại quyền một cách rõ ràng, hãy thêm nhóm hoặc tài khoản vào chính sách đó thay vì thêm một nhóm mà không ai định dùng làm kiểm soát truy cập.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Kiểm tra danh sách từ chối trước khi thêm bất cứ thứ gì. Nếu quyền từ chối nêu tên một nhóm chứa người dùng, thay đổi đúng là xóa tài khoản khỏi nhóm đó hoặc thu hẹp từ chối, không phải thêm quyền thứ hai ở nơi khác. Ghi lại quyền nào và ở đâu bạn đã thay đổi, vì lần làm mới GPO sau đó sẽ âm thầm khôi phục trạng thái trước và phiếu sẽ mở lại với cùng thông báo.

Giữ đường mạng là một quyết định riêng

Nhóm VPN không cần đến mọi cổng. Khi một nhóm cần ứng dụng chứ không phải desktop, một quy tắc tường lửa giới hạn trong nhóm đường hầm và cổng ứng dụng sẽ có hiệu lực cho chính sách đó, trong khi quyền đăng nhập vẫn nguyên vẹn.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Cấu hình theo từng máy khách của OpenVPN và quyền nhóm của Access Server có thể giới hạn tiền tố đích theo cùng tinh thần; không cái nào cấp quyền đăng nhập Windows, và quyền đăng nhập không thể mở cổng. Giữ chúng trong các cửa sổ thay đổi riêng biệt, vì quy tắc cổng và quyền được những người khác nhau phê duyệt.

Xác minh theo đúng thứ tự các cổng áp dụng: tài khoản có thiết lập được đường hầm không, phiên có đến được trình lắng nghe không, máy khách có xác thực không và tài khoản có quyền không. Một ping thất bại trong khi bài kiểm tra cổng thành công là tường lửa trả lời ICMP khác đi, không phải bằng chứng RDP bị chặn. Tài liệu tham chiếu của Microsoft về quyền đăng nhập liệt kê mặc định theo vai trò máy và quy tắc từ chối thắng cho phép.