Ìwọlé VPN láìsí ẹ̀tọ́ desktop tí ó jìnnà: ẹnu-ọ̀nà mẹ́rin ọ̀tọ̀ọ̀tọ̀

Olùmúlò kan so mọ́ VPN, ó ṣí ìpín fáìlì àti ohun èlò inú, lẹ́yìn náà ìgbìyànjú RDP dá «a kò fọwọ́ sí àkọsílẹ̀ olùmúlò fún ìwọlé jíjìnnà» padà. Kò sí ohun tí kò tọ́ nípa ọ̀nà abẹ́lẹ̀ nínú ìfiránṣẹ́ yẹn. Ẹnu-ọ̀nà mẹ́rin tí ó dúró ni ara wọn wà láàrin àkọsílẹ̀ VPN àti desktop ìbáṣepọ̀, àti èyí tí ó kẹ́yìn nìkan ló dá a. Àwọn ènìyàn sábà ń dáhùn nípa fífi àkọsílẹ̀ náà kún Administrators, èyí tí ó ń fún ní ju desktop lọ púpọ̀ àti kò tún ẹnu-ọ̀nà náà ṣe bí ìlànà ẹgbẹ́ bá kọ̀ ọ́. Èyí ni ohun tí ẹnu-ọ̀nà kọ̀ọ̀kan ń ṣe ní ti gidi, àti bí a ṣe lè yí èyí tí ń kọ̀ nìkan padà.

Ẹnu-ọ̀nà mẹ́rin ní ìtòlẹ́sẹẹsẹ tí ó dúró

Ẹnu-ọ̀nà náà kọ́kọ́ pinnu bóyá ìdánimọ̀ lè dá ọ̀nà abẹ́lẹ̀ sílẹ̀ rárá: ìlànà RADIUS, ipò ẹgbẹ́, àyẹ̀wò ìwé-ẹ̀rí, ìyọ̀nda Access Server. Lẹ́yìn náà ìtọ́sọ́nà àti àwọn ògiri iná pinnu bóyá àpòpò láti inú àkójọ ọ̀nà abẹ́lẹ̀ dé ọ̀dọ̀ olùgbọ́ TCP 3389 ti ibi-afẹ́. Lẹ́yìn náà ìfọwọ́sowọ́pọ̀ NLA ti alábàárà ń jẹ́rìí àkọsílẹ̀ náà níwájú ibi-afẹ́. Lẹ́yìn àwọn mẹ́ta yẹn nìkan ni aláṣẹ ààbò àdúgbò ń ṣàyẹ̀wò bóyá àkọsílẹ̀ náà ní ẹ̀tọ́ ìwọlé tí ìpàdé jíjìnnà ìbáṣepọ̀ ń béèrè.

Nítorí pé ìtòlẹ́sẹẹsẹ náà dúró, ẹnu-ọ̀nà kọ̀ọ̀kan ń fi àwọn tí ó wà lẹ́yìn rẹ̀ pamọ́. Ọ̀nà abẹ́lẹ̀ tí ó kùnà kò sọ ohun kan nípa ìtọ́sọ́nà; ibudo tí a dí kò sọ ohun kan nípa ẹ̀tọ́ ìwọlé; àyẹ̀wò ibudo tí ó ṣàṣeyọrí kò sọ ohun kan nípa gbígba. Ìdí nìyẹn tí «VPN ń ṣiṣẹ́ ṣùgbọ́n RDP kò ṣiṣẹ́» kì í ṣe ìṣòro kan ṣoṣo bí kò ṣe ààlà láàrin méjì nínú àwọn ẹnu-ọ̀nà wọ̀nyí, àti ìdí nìyẹn tí ọ̀rọ̀ àṣìṣe náà jẹ́ ọ̀nà tí ó yá jùlọ láti mọ èyí tí o kọ̀lù.

Ẹ̀tọ́ tí ó ń kọ̀ ìpàdé náà ní ti gidi

Ìwọlé sí desktop jíjìnnà nílò ẹ̀tọ́ olùmúlò Gbà ìwọlé láti inú Àwọn Iṣẹ́ Desktop Jíjìnnà, ìyẹn SeRemoteInteractiveLogonRight. A ń ṣàyẹ̀wò rẹ̀ nígbà ìwọlé, kì í ṣe nígbà gbígbe ọ̀nà abẹ́lẹ̀, nítorí náà àkọsílẹ̀ lè rìn kiri nínú nẹ́tíwọ́ọ̀kì fún wákàtí púpọ̀ kí a sì ṣì kọ̀ desktop fún un. Ìfọ̀rọ̀wérọ̀ tí ó ń fi í hàn wà lábẹ́ Àwọn Ìlànà Àdúgbò, Pípín Àwọn Ẹ̀tọ́ Olùmúlò, àti ìbámu agbègbè wà nínú GPO.

Ẹgbẹ́ àkọ́kọ́ dá lórí ipa ẹ̀rọ náà: àwọn ibùdó iṣẹ́ àti àwọn sáfà ẹgbẹ́ ń fún Administrators àti Remote Desktop Users, nígbà tí olùṣàkóso agbègbè ń fún Administrators nìkan. Òtítọ́ kan yẹn ń ṣàlàyé ọ̀pọ̀ ìdàrúdàpọ̀, nítorí àkọsílẹ̀ kan náà ń ṣàṣeyọrí lórí sáfà fáìlì tí ó sì ń kùnà lórí DC. Ẹ̀tọ́ ìkọ̀ ń borí ẹ̀tọ́ ìyọ̀nda tí ó bá mu láìka ìjẹ́ ọmọ ẹgbẹ́ sí, nítorí náà àkọsílẹ̀ tí a fún ní ìyọ̀nda àti ìkọ̀ papọ̀ ni a kọ̀. Ẹgbẹ́ ìkọ̀ gbòòrò lè mú olùṣàkóso tí a fi kún fún inú rere.

Ka ìlànà tí ń ṣiṣẹ́, kì í ṣe ìfọ̀rọ̀wérọ̀ àdúgbò

Ìlànà àdúgbò ni GPO agbègbè èyíkéyìí tí ó ń ṣàlàyé ẹ̀tọ́ kan náà ń pa rẹ̀ mọ́, nítorí náà snap-in àdúgbò lè fi àkójọ tí ó dà bí ó tọ́ hàn nígbà tí ipò tí ń ṣiṣẹ́ yàtọ̀. Ṣe àgbéjáde ohun tí ẹ̀rọ náà ń lò ní ti gidi, lẹ́yìn náà wá ẹ̀tọ́ náà kí o sì ka SID dípò àwọn orúkọ ìfihàn:

secedit /export /cfg C:\temp\secpol.cfg
Select-String -Path C:\temp\secpol.cfg -Pattern SeRemoteInteractiveLogonRight
gpresult /scope computer /v

Nínú àbájáde yẹn, *S-1-5-32-544 ni Administrators àti *S-1-5-32-555 ni Remote Desktop Users.

Bí kò bá sí èyíkéyìí nínú àwọn méjèèjì tí ó farahàn, kò sí ẹnikẹ́ni yàtọ̀ sí olùní ìlànà tí ó lè ṣí desktop, ohunkóhun tí ìfọ̀rọ̀wérọ̀ àdúgbò Àwọn Olùmúlò àti Àwọn Ẹgbẹ́ bá dábàá. Nígbà náà gpresult ń dárúkọ GPO tí ó borí, àti ìyẹn ni ohun tí o gbọdọ̀ ṣàtúnṣe; yíyí ìlànà àdúgbò padà lórí ẹ̀rọ tí ó so mọ́ agbègbè jẹ́ àyẹ̀wò, kì í ṣe àtúnṣe.

Fún ní ẹ̀tọ́ tóóró jùlọ tí ó yẹ

Ìdáhùn tí ó wọ́pọ̀ ni ẹgbẹ́ Remote Desktop Users lórí ibi-afẹ́. Ó ń gbé ẹ̀tọ́ náà ní àkọ́kọ́, ó kéré púpọ̀ ju Administrators lọ, ó sì ń ya «lè ṣí desktop» kúrò nínú «lè ṣàkóso sáfà». Níbi tí ìlànà ti pín ẹ̀tọ́ náà ní àkànlò, fi ẹgbẹ́ tàbí àkọsílẹ̀ náà kún ìlànà yẹn dípò fífi ẹgbẹ́ kan kún tí ẹnikẹ́ni kò gbèrò gẹ́gẹ́ bí ìṣàkóso ìwọlé.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\a.user"

Ṣàyẹ̀wò àkójọ ìkọ̀ kí o tó fi ohunkóhun kún. Bí ẹ̀tọ́ ìkọ̀ bá dárúkọ ẹgbẹ́ tí ó ní olùmúlò nínú, àtúnṣe tí ó tọ́ ni yíyọ àkọsílẹ̀ náà kúrò nínú ẹgbẹ́ yẹn tàbí dídín ìkọ̀ náà kù, kì í ṣe fífi ìyọ̀nda kejì kún níbòmíràn. Kọ ẹ̀tọ́ tí o yí padà àti ibi tí o ti ṣe é, nítorí ìsọdọ̀tun GPO lẹ́yìn náà yóò dá ipò àtẹ́lẹ̀ padà ní ìdákẹ́jẹ́, tíkẹ́ẹ̀tì yóò sì tún ṣí pẹ̀lú ìfiránṣẹ́ kan náà.

Pa ọ̀nà nẹ́tíwọ́ọ̀kì mọ́ gẹ́gẹ́ bí ìpinnu ọ̀tọ̀

Ẹgbẹ́ VPN kò nílò láti dé gbogbo ibudo. Nígbà tí ẹgbẹ́ nílò ohun èlò tí kì í ṣe desktop, ìlànà ògiri iná tí a fi mọ́ àkójọ ọ̀nà abẹ́lẹ̀ àti ibudo ohun èlò ń mú ìlànà yẹn ṣiṣẹ́, nígbà tí ẹ̀tọ́ ìwọlé wà láìfọwọ́ kàn.

Get-NetFirewallRule -DisplayGroup "Remote Desktop"
Test-NetConnection -ComputerName 10.20.0.50 -Port 3389

Ìṣètò OpenVPN fún alábàárà kọ̀ọ̀kan àti àwọn ìyọ̀nda ẹgbẹ́ Access Server lè dín àwọn ìpilẹ̀ ibi-afẹ́ kù ní ẹ̀mí kan náà; kò sí èyíkéyìí nínú wọn tí ó ń fún ní ẹ̀tọ́ ìwọlé Windows, ẹ̀tọ́ ìwọlé kò sì lè ṣí ibudo. Pa wọ́n mọ́ nínú àwọn fèrèsé ìyípadà ọ̀tọ̀ọ̀tọ̀, nítorí ìlànà ibudo àti ẹ̀tọ́ ni àwọn ènìyàn ọ̀tọ̀ọ̀tọ̀ ń fọwọ́ sí.

Ṣe àyẹ̀wò ní ìtòlẹ́sẹẹsẹ kan náà tí àwọn ẹnu-ọ̀nà ń gbà ṣiṣẹ́: ṣé àkọsílẹ̀ náà lè dá ọ̀nà abẹ́lẹ̀ sílẹ̀, ṣé ìpàdé dé ọ̀dọ̀ olùgbọ́, ṣé alábàárà ń jẹ́rìí, àti ṣé àkọsílẹ̀ náà ní ẹ̀tọ́. Ping tí ó kùnà nígbà tí àyẹ̀wò ibudo ṣàṣeyọrí jẹ́ ògiri iná tí ó ń dáhùn ICMP ní ọ̀nà mìíràn, kì í ṣe ẹ̀rí pé a dí RDP. Ìtọ́kasí Microsoft nípa ẹ̀tọ́ ìwọlé ń ṣe àkójọ àwọn àkọ́kọ́ nípasẹ̀ ipa ẹ̀rọ àti ìlànà pé ìkọ̀ ń borí ìyọ̀nda.