بستن ریموت دسکتاپ در داخل شبکه LAN

سلام . ممکنه راهنمایی کنید چطور میشه در داخل LAN (سرور و کلاینت ها از یک رنج هستند و فایروالی برای جداسازی رنج ایپی سرور ها از کلاینت ها نیست ) که با Active directory پیاده سازی شده , دسترسی ریموت دسکتاپ کاربران شبکه بلاک باشه و فقط کامپیوتر مدیر شبکه بتونه مثلا به سرور شبکه ریموت بزنه ؟

یه میکروتیک بگیر ارزون قیمت بزارش سر راه سرور و راحت میتونی امنیت و ببری بالا و دسترسی به سرور محدود کنی

[QUOTE=mohamad-8;477992]یه میکروتیک بگیر ارزون قیمت بزارش سر راه سرور و راحت میتونی امنیت و ببری بالا و دسترسی به سرور محدود کنی[/QUOTE]

با تشکر از دوستمون .
خواهشنا ز دوستان میخوام اگه موضوعی رو جوابی براش ندارن جوابی ندید . همیشه جواب اشتباه راهها رو خیلی طولانی تر میکنه ..

تو فایروال خود ویندوز اینباند و اوت باند داره میتونید رول بسازید برای alow یا deny کردن RDP


میکروتیک هم بزاری چون احتمالا شبکه داخلی هستید و سویچ دارید عملا هیچ کاری انجام نمیشه .

ممنون .
استفاده از میکروتیک رو که عرض کردم نیاز به تعریف روتینگ داره و در صورتی که ساختاری مانند مدیریت فایروال به عنوان gateway ای برای dmz مورد نیاز باشه قابل استفاده هست که کیس من نیست .
فکر میکنم جایی درباره گروه پالیسی چیزی دیده بودم اما فعلا ظاهرا بهترین کار همین فایر وال ویندوز سرور هست که کدوم rdp رو قبول کنه و کدوم رو نکنه .
اگر دوستان نظر بهتری دارند بفرمایند . مثلا با راه اندازی rdp gateway (که سناریوی معمولش برای مدیریت ریموت های خارج از شبکه داخلی هست) و ....

[QUOTE=vituzo;477988]سلام . ممکنه راهنمایی کنید چطور میشه در داخل LAN (سرور و کلاینت ها از یک رنج هستند و فایروالی برای جداسازی رنج ایپی سرور ها از کلاینت ها نیست ) که با Active directory پیاده سازی شده , دسترسی ریموت دسکتاپ کاربران شبکه بلاک باشه و فقط کامپیوتر مدیر شبکه بتونه مثلا به سرور شبکه ریموت بزنه ؟[/QUOTE]


با سلام

اگر بخواهید کاری کنید که کاربران مد نظر شما ، کلاً نتوانند ابزار Remote Desktop ویندوز را اجرا نمایند ، میتوانید از طریق Group policy دامین ، با استفاده از ابزارهای
software restriction policy و همینطور Applocker ، کلاً نرم افزار remote desktop که mstsc.exe است را در سیستم کلاینتها ببندید و در این حالت این نرم افزار دیگر اجرا نمشود.

روش دیگر این است که مجدد از طریق Group policy دامین ، تنظیم مربوطه را انجام دهید تا یک rule از نوع outbound و Deny بابت ترافیک TCP 3389 در فایروال همه کلاینتها ساخته شود.
در این حالت ابزار remote desktop اجرا میشود اما کلاینتها نمیتوانند با آن به جایی ریموت بزنند

(در کل روشهای بالا از طریق همان Group policy میتوانید ادمین شبکه را از این محدودیتها مستثنی نمایید.)

موفق باشید