Μετάβαση στο περιεχόμενο

Ομάδα Protected Users, έλεγχος ταυτότητας Kerberos, απομόνωση AD σε σιλό και σταθμός εργασίας PAW

Η ασφάλεια των καταλόγων Active Directory αποτελεί σημαντική πρόκληση για την ασφάλεια των υποδομών.

Η ANSSI (η εθνική υπηρεσία κυβερνοασφάλειας της Γαλλίας) δίνει ιδιαίτερη έμφαση στη σημασία της στεγανοποίησης για αυτήν την ασφάλεια και στην υλοποίηση της απομόνωσης των διακομιστών σε σιλό με έλεγχο ταυτότητας Kerberos. Αυτό αναφέρεται στις συστάσεις της για την ασφαλή διαχείριση των πληροφοριακών συστημάτων που βασίζονται στο AD.

Οι λύσεις μας CyberElements Bastion προσφέρουν μεγάλη ευελιξία στην εφαρμογή αυτής της ασφάλειας, η οποία μπορεί να αναλυθεί σε τέσσερα διαφορετικά επίπεδα ενοποίησης που μπορούν να εφαρμοστούν σταδιακά:

Διαμόρφωση εφαρμογών RDP για υποστήριξη Kerberos

Προειδοποίηση!

Για να διαμορφώσετε μια προνομιακή εφαρμογή RDP ή μια προνομιακή εφαρμογή HTML5 RDP ώστε να υποστηρίζει Kerberos, πρέπει πρώτα να εκτελέσετε τη διαμόρφωση 1 στα στοιχεία Edge Gateway που θα χρησιμοποιηθούν για τη σύνδεση RDP με Kerberos.

Για να συνδεθεί μια προνομιακή εφαρμογή RDP ή HTML5 RDP σε διακομιστή RDP με Kerberos, απαιτούνται τέσσερις προϋποθέσεις διαμόρφωσης:

  1. Η ρύθμιση SSO δεν μπορεί να οριστεί σε Disabled, επομένως πρέπει να είναι Enabled, Fixed ή Request
  2. Η λειτουργία χωρίς παράγοντα πρέπει να είναι ενεργοποιημένη
  3. Το όνομα διακομιστή που καταχωρείται πρέπει να είναι FQDN (η καταχώρηση της διεύθυνσης IP του διακομιστή θα προκαλέσει αποτυχία του ελέγχου ταυτότητας).
  4. Το πρωτόκολλο Kerberos δεν πρέπει να είναι απενεργοποιημένο στις ρυθμίσεις για προχωρημένους της εφαρμογής RDP ή HTML5 RDP.
Παράδειγμα

Για να διαμορφώσετε μια προνομιακή εφαρμογή RDP ώστε να συνδέεται στον διακομιστή RDP my-rds-server με χρήση Kerberos, πρέπει:

  • Να ορίσετε το επίπεδο SSO σε τιμή διαφορετική από Disabled, εδώ σε Enabled (1), στη συνέχεια να ενεργοποιήσετε τη λειτουργία χωρίς παράγοντα (2) και, τέλος, να καταχωρήσετε το FQDN του διακομιστή RDP (3).
  • Να βεβαιωθείτε ότι το πρωτόκολλο Kerberos δεν είναι απενεργοποιημένο (4)
Διάγραμμα ροής 
flowchart LR 
    subgraph WAN 
        USER(Σταθμός εργασίας χρήστη)
    end 
    subgraph Cloud ή DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(Διακομιστής RDP)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW
Hold "Ctrl" to enable pan & zoom
  1. Ο χρήστης ανοίγει μια προνομιακή εφαρμογή RDP ή HTML5 RDP με υποστήριξη ελέγχου ταυτότητας Kerberos.
  2. Ο χρήστης συνδέεται στο στοιχείο Edge Gateway σε λειτουργία χωρίς παράγοντα
  3. Το στοιχείο Edge Gateway ζητά διακριτικό TGT από τον ελεγκτή τομέα Kerberos (KDC).
  4. Ο KDC επιστρέφει ένα κρυπτογραφημένο και υπογεγραμμένο TGT
  5. Το στοιχείο Edge Gateway ζητά ένα εισιτήριο υπηρεσίας που περιλαμβάνει το προηγούμενο TGT
  6. Ο KDC επιστρέφει το εισιτήριο υπηρεσίας κρυπτογραφημένο με το κλειδί υπηρεσίας
  7. Το στοιχείο Edge Gateway υποβάλλει αίτημα πρόσβασης στον διακομιστή RDP, συμπεριλαμβάνοντας το εισιτήριο υπηρεσίας.
  8. Ο διακομιστής RDP εγκρίνει την πρόσβαση στην υπηρεσία και η σύνδεση RDP αρχικοποιείται.

Διαμόρφωση εφαρμογών RDP για υποστήριξη του μηχανισμού Kerberos armoring

Προειδοποίηση!

Για να διαμορφώσετε με επιτυχία μια προνομιακή εφαρμογή RDP ή HTML5 RDP ώστε να υποστηρίζει τον μηχανισμό Kerberos armoring, πρέπει πρώτα να ολοκληρώσετε τις διαμορφώσεις 1 και 2 για τα στοιχεία Edge Gateway που θα χρησιμοποιηθούν για τη σύνδεση RDP με Kerberos armoring.

Για να συνδεθεί μια προνομιακή εφαρμογή RDP ή HTML5 RDP σε διακομιστή RDP με Kerberos armoring, απαιτούνται πέντε προϋποθέσεις διαμόρφωσης:

  1. Η ρύθμιση SSO δεν μπορεί να οριστεί σε Disabled, επομένως πρέπει να είναι Enabled, Fixed ή Request
  2. Η λειτουργία χωρίς παράγοντα πρέπει να είναι ενεργοποιημένη
  3. Το όνομα διακομιστή που καταχωρείται πρέπει να είναι FQDN (η καταχώρηση της διεύθυνσης IP του διακομιστή θα προκαλέσει αποτυχία του ελέγχου ταυτότητας).
  4. Το πρωτόκολλο Kerberos δεν πρέπει να είναι απενεργοποιημένο στις ρυθμίσεις για προχωρημένους της εφαρμογής RDP ή HTML5 RDP.
  5. Καθορίστε το όνομα του λογαριασμού υπολογιστή υπηρεσίας που θα χρησιμοποιηθεί για τον μηχανισμό Kerberos armoring, προσθέτοντας ένα $ στο τέλος
Παράδειγμα

Για να διαμορφώσετε μια προνομιακή εφαρμογή RDP ώστε να συνδέεται σε λειτουργία Kerberos armoring στον διακομιστή RDP my-rds-server με χρήση του λογαριασμού υπολογιστή svc_cyberelements, πρέπει:

  • Να ορίσετε το επίπεδο SSO σε τιμή διαφορετική από Disabled, εδώ σε Enabled (1), στη συνέχεια να ενεργοποιήσετε τη λειτουργία χωρίς παράγοντα (2) και, τέλος, να καταχωρήσετε το FQDN του διακομιστή RDP (3).
  • Να βεβαιωθείτε ότι το πρωτόκολλο Kerberos δεν είναι απενεργοποιημένο (4) και ότι έχει καθοριστεί το όνομα του λογαριασμού υπολογιστή υπηρεσίας, χωρίς να ξεχάσετε να προσθέσετε τον χαρακτήρα $ (5).
Διάγραμμα ροής 
flowchart LR 
    subgraph WAN 
        USER(Σταθμός εργασίας χρήστη)
    end 
    subgraph Cloud ή DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(Διακομιστής RDP)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW
Hold "Ctrl" to enable pan & zoom
  1. Ο χρήστης ανοίγει μια προνομιακή εφαρμογή RDP ή HTML5 RDP με υποστήριξη ελέγχου ταυτότητας Kerberos.
  2. Ο χρήστης συνδέεται στο στοιχείο Edge Gateway σε λειτουργία χωρίς παράγοντα
  3. Το στοιχείο Edge Gateway ζητά διακριτικό TGT από τον ελεγκτή τομέα Kerberos (KDC) χρησιμοποιώντας τις πληροφορίες του λογαριασμού υπολογιστή υπηρεσίας
  4. Ο KDC επιστρέφει ένα κρυπτογραφημένο και υπογεγραμμένο TGT
  5. Το στοιχείο Edge Gateway ζητά ένα εισιτήριο υπηρεσίας που περιλαμβάνει το προηγούμενο TGT
  6. Ο KDC επιστρέφει το εισιτήριο υπηρεσίας κρυπτογραφημένο με το κλειδί υπηρεσίας
  7. Το στοιχείο Edge Gateway υποβάλλει αίτημα πρόσβασης στον διακομιστή RDP, συμπεριλαμβάνοντας το εισιτήριο υπηρεσίας.
  8. Ο διακομιστής RDP εγκρίνει την πρόσβαση στην υπηρεσία και η σύνδεση RDP αρχικοποιείται.

Ιδιαιτερότητες της αρχιτεκτονικής σε περιβάλλον AD με διαχωρισμό σε silo

Προειδοποίηση!

Σε περιβάλλον Active Directory με διαχωρισμό σε silo, ο μηχανισμός Kerberos armoring διαμορφώνεται συνήθως για τους λογαριασμούς διαχειριστών. Επομένως, πρέπει να εκτελεστούν οι διαμορφώσεις 1 και 2 για τα στοιχεία Edge Gateway που θα χρησιμοποιηθούν για τη σύνδεση στους διακομιστές RDP.

Όταν το CyberElements Bastion χρησιμοποιείται σε περιβάλλον AD με σιλό, ο λογαριασμός υπολογιστή υπηρεσίας που χρησιμοποιείται για το Kerberos armoring πρέπει να αντιστοιχιστεί σε ένα σιλό.
Αυτό σημαίνει ότι, εάν απαιτείται πρόσβαση σε υπολογιστές RDP που ανήκουν σε διαφορετικά επίπεδα, θα χρειαστεί να δημιουργηθούν ισάριθμοι λογαριασμοί υπολογιστή υπηρεσίας, τοποθετημένοι στα αντίστοιχα επίπεδα προορισμού.

Η αρχιτεκτονική του προϊόντος ενδέχεται επίσης να επηρεαστεί.
Η αλλαγή αυτή αφορά κυρίως τον αριθμό των στοιχείων Edge Gateway που αναπτύσσονται, καθώς συνιστάται να υπάρχει τουλάχιστον ένα αποκλειστικά για την πρόσβαση σε κάθε συγκεκριμένο επίπεδο. Ωστόσο, εάν οι συνθήκες δεν επιτρέπουν την ανάπτυξη τόσων στοιχείων Edge Gateway, μπορεί επίσης να χρησιμοποιηθεί αρχιτεκτονική με ένα μόνο στοιχείο Edge Gateway:

flowchart LR
    subgraph WAN
        USER(Σταθμός εργασίας χρήστη)
    end
    subgraph Cloud ή DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T2
            GW-T2(Edge Gateway T2)
            RDP-T2(Διακομιστής RDP T2)
        end
        subgraph T1
            GW-T1(Edge Gateway T1)
            RDP-T1(Διακομιστής RDP T1)
        end
        subgraph T0
            GW-T0(Edge Gateway T0)
            KDC(Kerberos Domain Controller)
            RDP-T0(Διακομιστής RDP T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW-T0
    MED ~~~ GW-T1
    MED ~~~ GW-T2

    GW-T0 ==TLS==> MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 --Kerberos/LDAPS--> KDC
    GW-T0 -..-> |RDP| RDP-T0

    GW-T1 ==TLS==> MED
    GW-T1 ~~~ MED
    GW-T1 ~~~ MED
    GW-T1 --Kerberos/LDAPS--> KDC
    GW-T1 -..-> |RDP| RDP-T1

    GW-T2 ==TLS==> MED
    GW-T2 ~~~ MED
    GW-T2 --Kerberos/LDAPS--> KDC
    GW-T2 -..-> |RDP| RDP-T2
Hold "Ctrl" to enable pan & zoom

Με αυτή την αρχιτεκτονική, η διαμόρφωση των εφαρμογών RDP είναι ίδια με εκείνη για την υποστήριξη του μηχανισμού Kerberos armoring. 

flowchart LR
    subgraph WAN
        USER(Σταθμός εργασίας χρήστη)
    end
    subgraph Cloud ή DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        GW(Edge Gateway)
        subgraph T2
            RDP-T2(Διακομιστής RDP T2)
        end
        subgraph T1
            RDP-T1(Διακομιστής RDP T1)
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
            RDP-T0(Διακομιστής RDP T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW

    GW ==TLS==> MED
    GW ~~~ MED
    GW --Kerberos/LDAPS--> KDC
    GW-.-> |RDP| RDP-T0
    GW -.-> |RDP| RDP-T1
    GW -.-> |RDP| RDP-T2
Hold "Ctrl" to enable pan & zoom

Με αυτή την αρχιτεκτονική, η διαμόρφωση των εφαρμογών RDP είναι ίδια με εκείνη για την υποστήριξη του μηχανισμού Kerberos armoring.
Ωστόσο, πρέπει επίσης να προβλέψετε την εφαρμογή ενός αρχείου keytab που περιέχει πολλούς λογαριασμούς υπηρεσίας στο στοιχείο Edge Gateway σύνδεσης.

Ιδιαιτερότητες της σύνδεσης σε σταθμό εργασίας PAW

Ο σταθμός εργασίας PAW (Privileged Access Workstation) είναι ένας σταθμός εργασίας αφιερωμένος σε διαχειριστικές ενέργειες σε ένα καθορισμένο επίπεδο.
Λόγω της κρισιμότητας αυτού του σταθμού εργασίας, εφαρμόζονται πολύ συχνά ενισχυμένες ρυθμίσεις ασφαλείας. Μεταξύ των ενισχύσεων που εφαρμόζονται, η αρχή της μη έκθεσης υπηρεσιών στο δίκτυο διασφαλίζει ότι δεν μπορούν να αξιοποιηθούν κερκόπορτες ή υπηρεσίες με ευπάθειες ασφαλείας.

Επομένως, η αρχή αυτή καθιστά θεωρητικά αδύνατη την απομακρυσμένη πρόσβαση στον σταθμό εργασίας PAW. Ωστόσο, το CyberElements Bastion σάς επιτρέπει να δημιουργήσετε σύνδεση με τον σταθμό εργασίας PAW χωρίς να υπάρχουν υπηρεσίες που κάνουν ακρόαση στο τοπικό δίκτυο, χάρη σε:

  • στην ενεργοποίηση των υπηρεσιών απομακρυσμένης επιφάνειας εργασίας
  • στη διαμόρφωση του τοπικού τείχους προστασίας ώστε να απαγορεύεται η πρόσβαση στην υπηρεσία απομακρυσμένης επιφάνειας εργασίας από οποιαδήποτε διεύθυνση IP εκτός από εκείνες του σταθμού εργασίας PAW ή το localhost
  • στην εγκατάσταση ενός ενσωματωμένου στοιχείου Edge Gateway που θα επιτρέπει την τοπική πρόσβαση στην υπηρεσία απομακρυσμένης επιφάνειας εργασίας του σταθμού εργασίας PAW
flowchart LR
    subgraph WAN
        USER(Σταθμός εργασίας χρήστη)
    end
    subgraph Cloud ή DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{Διακομιστής RDP}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW & GW-WIN
    GW & GW-WIN ==TLS==> MED
    GW & GW-WIN ~~~ MED

    GW & PAW_T1 --> |Kerberos/LDAPS| KDC

    GW-WIN -.-> |RDP| RDP

    GW --x |Δεν υπάρχει διαθέσιμη σύνδεση| PAW_T1
Hold "Ctrl" to enable pan & zoom 
flowchart LR
    subgraph WAN
        USER(Σταθμός εργασίας χρήστη)
    end
    subgraph Cloud ή DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{Διακομιστής RDP}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER --- |1| MED --> |1| GW
    GW -.- |2| MED -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    MED --> |7| GW & GW-WIN
    GW --- |8| MED --- |8| GW-WIN --> |8| RDP
    RDP -.- |9| GW-WIN -.- |9| MED -.-> |9| GW
Hold "Ctrl" to enable pan & zoom
  1. Ο χρήστης ανοίγει μια προνομιακή εφαρμογή RDP ή HTML5 RDP με υποστήριξη ελέγχου ταυτότητας Kerberos προς έναν σταθμό εργασίας PAW
  2. Ο χρήστης συνδέεται στο στοιχείο Edge Gateway σε λειτουργία χωρίς παράγοντα
  3. Το στοιχείο Edge Gateway ζητά διακριτικό TGT από τον ελεγκτή τομέα Kerberos (KDC) χρησιμοποιώντας τις πληροφορίες του λογαριασμού υπολογιστή υπηρεσίας
  4. Ο KDC επιστρέφει ένα κρυπτογραφημένο και υπογεγραμμένο TGT
  5. Το στοιχείο Edge Gateway ζητά ένα εισιτήριο υπηρεσίας που περιλαμβάνει το προηγούμενο TGT
  6. Ο KDC επιστρέφει το εισιτήριο υπηρεσίας κρυπτογραφημένο με το κλειδί υπηρεσίας
  7. Η υπηρεσία Mediation Controller γνωστοποιεί στο στοιχείο Edge Gateway και στο ενσωματωμένο στοιχείο Edge Gateway ότι άνοιξε μια σήραγγα μεταξύ τους, η οποία διέρχεται από την υπηρεσία Mediation Controller
  8. Το στοιχείο Edge Gateway στέλνει αίτημα πρόσβασης στον διακομιστή RDP, συμπεριλαμβάνοντας το εισιτήριο υπηρεσίας, μέσω της υπηρεσίας Mediation Controller και του ενσωματωμένου στοιχείου Edge Gateway
  9. Ο διακομιστής RDP εγκρίνει την πρόσβαση στην υπηρεσία και η σύνδεση RDP αρχικοποιείται

Προαπαιτούμενα στον σταθμό εργασίας PAW

Τα ειδικά προαπαιτούμενα που πρέπει να εφαρμοστούν στον σταθμό εργασίας PAW (Privileged Access Workstation) για τη σύνδεση στο CyberElements Bastion συνοψίζονται ως εξής:

  1. Ενεργοποιήστε την υπηρεσία απομακρυσμένης επιφάνειας εργασίας
  2. Τροποποιήστε το τοπικό τείχος προστασίας ώστε να απαγορεύεται η πρόσβαση στην υπηρεσία απομακρυσμένης επιφάνειας εργασίας σε όλους τους υπολογιστές εκτός από τον ίδιο τον σταθμό εργασίας PAW
  3. Τροποποιήστε τη συμπεριφορά του μηχανισμού Kerberos armoring ώστε να παρέχει πάντα αξιώσεις
  4. Εγκαταστήστε ένα στοιχείο Edge Gateway για Windows σε ενσωματωμένη λειτουργία

Ενεργοποίηση της υπηρεσίας απομακρυσμένης επιφάνειας εργασίας

Η υπηρεσία απομακρυσμένης επιφάνειας εργασίας μπορεί να ενεργοποιηθεί χειροκίνητα, όπως περιγράφεται στην τεκμηρίωση της Microsoft, στο άρθρο Enable Remote Desktop on your PC.
Ωστόσο, είναι επίσης δυνατό να χρησιμοποιήσετε ένα GPO για την ενεργοποίηση της υπηρεσίας:

  • Διαδρομή της ρύθμισης GPO: Computer Configuration > Policies > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Connections
  • Ρύθμιση: Allow users to connect remotely by using Remote Desktop Services
  • Τιμή: Enabled

Τροποποίηση των κανόνων του τείχους προστασίας

Για λόγους ασφαλείας, είναι σημαντικό να περιοριστεί η πρόσβαση σε επίπεδο τείχους προστασίας, ώστε να αποτρέπεται η πρόσβαση από έξω στη θύρα RDP.

Από προεπιλογή, όταν το RDP είναι ενεργοποιημένο, τα Windows ορίζουν 2 κανόνες τείχους προστασίας που επιτρέπουν την πρόσβαση στη θύρα 3389 μέσω UDP και TCP.
Αυτοί οι δύο κανόνες πρέπει να τροποποιηθούν ώστε να επιτρέπουν μόνο συνδέσεις RDP από την απομακρυσμένη διεύθυνση IP 127.0.0.1.

Εάν αυτοί οι κανόνες δεν υπάρχουν, πρέπει να δημιουργηθούν χειροκίνητα στον διακομιστή ή μέσω GPO.

Τροποποίηση της συμπεριφοράς του μηχανισμού Kerberos armoring

Πρέπει επίσης να τροποποιηθεί η συμπεριφορά του πρωτοκόλλου Kerberos.

Για τον σκοπό αυτό, μπορείτε να ορίσετε το ακόλουθο GPO:

  • Διαδρομή της ρύθμισης GPO: Computer Configuration > Policies > Administrative Templates > System > KDC
  • Ρύθμιση: KDC support for claims, compound authentication and Kerberos armoring
  • Τιμή: Enabled, Always provide claims

Η αλλαγή αυτή δεν επηρεάζει την ασφάλεια της διαβάθμισης του AD σε επίπεδα και της ενισχυμένης υλοποίησης του Kerberos.

Εγκατάσταση στοιχείου Edge Gateway για Windows σε ενσωματωμένη λειτουργία

Προαπαιτούμενα

Πριν συνεχίσετε, εγκαταστήστε ένα Edge Gateway για Windows στον σταθμό εργασίας PAW και συνδέστε το στο Mediation Controller: Εγκατάσταση ενός Edge Gateway για Windows

Μετά την εγκατάσταση του στοιχείου Edge Gateway για Windows, πρέπει να το θέσετε σε ενσωματωμένη λειτουργία.

Αποκτήστε πρόσβαση στη διασύνδεση web του διακομιστή Mediation Controller με το URI /console.

Παραδείγματα

Εάν η πρόσβαση στο Mediation Controller γίνεται μέσω της διεύθυνσης IP web του, 10.0.10.10, η κονσόλα διαχείρισης είναι προσβάσιμη στη διεύθυνση https://10.0.10.10/console.

Εάν το Mediation Controller είναι προσβάσιμο μέσω ενός ονόματος DNS, για παράδειγμα cyberelements-bastion.domain.local, η κονσόλα διαχείρισης είναι προσβάσιμη στη διεύθυνση https://cyberelements-bastion.domain.local/console.

Μόλις συνδεθεί, φροντίστε να καταργήσετε τη δήλωση του στοιχείου Edge Gateway για Windows από τη λειτουργική μονάδα Gateways Management.

Το στοιχείο Edge Gateway για Windows είναι πλέον έτοιμο να χρησιμοποιηθεί ως ενσωματωμένο στοιχείο Edge Gateway.

Όταν ανοίγει μια περίοδος λειτουργίας, η εφαρμογή παρακολούθησης του στοιχείου Edge Gateway για Windows ξεκινά αυτόματα (ορατή από το εικονίδιο type:inline στη γραμμή εργασιών). Καθώς αυτή η αυτόματη εκκίνηση δεν απαιτείται για τους σταθμούς εργασίας PAW, πρέπει να απενεργοποιηθεί:

  1. Ανοίξτε τον επεξεργαστή μητρώου regedit.exe ως διαχειριστής
  2. Μεταβείτε στον κλάδο μητρώου HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
  3. Διαγράψτε το κλειδί IPdivaGateway Monitor
  4. Επανεκκινήστε τον σταθμό εργασίας PAW

Διαμόρφωση εφαρμογών RDP για σύνδεση σε σταθμό εργασίας PAW

Προειδοποίηση!

Για να διαμορφώσετε μια προνομιακή εφαρμογή RDP ή HTML5 RDP ώστε να συνδέεται σε σταθμό εργασίας PAW, πρέπει πρώτα να ολοκληρώσετε τις διαμορφώσεις 1 έως 3 για τα στοιχεία Edge Gateway που θα χρησιμοποιηθούν για τη σύνδεση στους σταθμούς εργασίας PAW.

Για να συνδεθεί μια προνομιακή εφαρμογή RDP ή HTML5 RDP σε σταθμό εργασίας PAW, πρέπει να πληρούνται έξι προϋποθέσεις διαμόρφωσης:

  1. Η ρύθμιση SSO δεν μπορεί να οριστεί σε Disabled, επομένως πρέπει να είναι Enabled, Fixed ή Request
  2. Η λειτουργία χωρίς παράγοντα πρέπει να είναι ενεργοποιημένη
  3. Το όνομα διακομιστή που καταχωρείται πρέπει να είναι FQDN (η καταχώρηση της διεύθυνσης IP του διακομιστή θα προκαλέσει αποτυχία του ελέγχου ταυτότητας).
  4. Διαμορφώστε τη δρομολόγηση μέσω ενσωματωμένου στοιχείου Edge Gateway
  5. Το πρωτόκολλο Kerberos δεν πρέπει να είναι απενεργοποιημένο στις ρυθμίσεις για προχωρημένους της εφαρμογής RDP ή HTML5 RDP.
  6. Καθορίστε το όνομα του λογαριασμού υπολογιστή υπηρεσίας που θα χρησιμοποιηθεί για τον μηχανισμό Kerberos armoring, προσθέτοντας ένα $ στο τέλος

Η προϋπόθεση 4 προκύπτει από τη διαμόρφωση των σταθμών εργασίας PAW, στους οποίους δεν πρέπει να ακούει καμία υπηρεσία στο τοπικό δίκτυο. Όταν ένα στοιχείο Edge Gateway εγκαθίσταται με τη μορφή προγράμματος Windows, μπορεί να έχει πρόσβαση μόνο σε υπηρεσίες που ακούν στο localhost.

Παράδειγμα

Για να διαμορφώσετε μια προνομιακή εφαρμογή RDP ώστε να συνδέεται σε λειτουργία Kerberos armoring στον διακομιστή RDP my-rds-server με χρήση του λογαριασμού υπολογιστή svc_cyberelements, πρέπει:

  • Να ορίσετε το επίπεδο SSO σε τιμή διαφορετική από Disabled, εδώ σε Enabled (1), στη συνέχεια να ενεργοποιήσετε τη λειτουργία χωρίς παράγοντα (2), να καταχωρήσετε το FQDN του διακομιστή RDP (3) και, τέλος, να ενεργοποιήσετε τη λειτουργία ενσωματωμένου στοιχείου Edge Gateway και να καθορίσετε το όνομα του στοιχείου Edge Gateway για Windows που έχει εγκατασταθεί στον σταθμό εργασίας PAW (4).
  • Να βεβαιωθείτε ότι το πρωτόκολλο Kerberos δεν είναι απενεργοποιημένο (5) και ότι έχει καθοριστεί το όνομα του λογαριασμού υπολογιστή υπηρεσίας, χωρίς να ξεχάσετε να προσθέσετε τον χαρακτήρα $ (6).

Εντοπισμός σφαλμάτων στο άνοιγμα εφαρμογών RDP με έλεγχο ταυτότητας Kerberos

Για να εκτελέσετε μια αρχική ανάλυση ή να συλλέξετε τις πληροφορίες που χρειάζεται η ομάδα υποστήριξης CyberElements για μια προηγμένη ανάλυση των αποτυχιών ελέγχου ταυτότητας Kerberos, εκτελέστε τις ακόλουθες ενέργειες:

  1. Ενεργοποιήστε τα αρχεία καταγραφής εντοπισμού σφαλμάτων: για τον σκοπό αυτό, ορίστε την παράμετρο debug κάτω από την ετικέτα [Kerberos] σε true στο αρχείο /etc/ipdiva/cleanroom/xrdprecord.ini του στοιχείου Edge Gateway που χρησιμοποιείται για τη σύνδεση. Η ενέργεια αυτή μπορεί να εκτελεστεί με την ακόλουθη εντολή:

    1
    sed -i "3s/false/true/" /etc/ipdiva/cleanroom/xrdprecord.ini

  2. Συνδεθείτε στην πύλη χρηστών και εκκινήστε μια προνομιακή εφαρμογή, RDP ή RDP HTML5, σε λειτουργία χωρίς παράγοντα και διαμορφωμένη ώστε να χρησιμοποιεί Kerberos. Σημειώστε τις ακόλουθες πληροφορίες:

    • Ώρα ανοίγματος της εφαρμογής
    • Το όνομα χρήστη που χρησιμοποιήθηκε για τη σύνδεση στον διακομιστή RDP

  3. Στο στοιχείο Edge Gateway που χρησιμοποιήθηκε για την προηγούμενη σύνδεση, ανακτήστε τα ακόλουθα αρχεία:

    • /var/log/syslog: το αρχείο αυτό περιέχει, ειδικότερα, τις πληροφορίες καταγραφής για την εκκίνηση της περιόδου λειτουργίας σε λειτουργία χωρίς παράγοντα.
    • /var/lib/ipdiva/carerecord/log/freerdpout-<USER>-<DATE>.txt: αντικαταστήστε το <USER> με το όνομα χρήστη και το <DATE> με την ημερομηνία και την ώρα ανοίγματος της εφαρμογής, που σημειώσατε στο προηγούμενο βήμα. Το αρχείο αυτό περιέχει τις πληροφορίες καταγραφής που σχετίζονται με τη δημιουργία της περιόδου λειτουργίας RDP, συμπεριλαμβανομένης της φάσης ελέγχου ταυτότητας Kerberos.

  4. Απενεργοποιήστε τα αρχεία καταγραφής εντοπισμού σφαλμάτων: για τον σκοπό αυτό, ορίστε την παράμετρο debug κάτω από την ετικέτα [Kerberos] σε false στο αρχείο /etc/ipdiva/cleanroom/xrdprecord.ini του στοιχείου Edge Gateway που χρησιμοποιείται για τη σύνδεση. Η ενέργεια αυτή μπορεί να εκτελεστεί με την ακόλουθη εντολή:

    1
    sed -i "3s/true/false/" /etc/ipdiva/cleanroom/xrdprecord.ini