RDP hou op ná die installering van ’n VPN-kliënt? Dit is die firewall

Minute nadat ’n verbruiker-VPN-kliënt klaar installeer, sê die portaal steeds die VM loop, die openbare IP het nie verander nie, en RDP reageer nie meer nie. Mense aanvaar gewoonlik die VM het omgeval of die netwerksekuriteitsgroep het verander, en albei is gewoonlik verkeerd. Wat verander het, is die Windows-firewallprofiel waarin die masjien sit, en die RDP-reël wat vroeër gepas het, pas nie meer nie. Die herstel begin deur ’n shell te kry via ’n pad wat nie van RDP afhang nie.

Die VM loop; die reël pas nie meer nie

Firewallreëls in Windows dra ’n stel profiele, en ’n reël wat tot Privaat of Domein beperk is, het geen effek terwyl die masjien op die Openbare profiel staan nie. VPN-installeerders voeg adapters en roetes by, en verskeie van hulle verhard Openbaar as ’n newe-effek. Die luisteraar bly aan 3389 gebind en die pakkette arriveer steeds, maar die profielwanpassing gooi hulle weg.

Kragtoestand en bereikbaarheid is aparte feite, en ’n lopende VM met ’n geslote poort lyk van buite presies soos een wat omgeval het.

Toets die poort voordat jy enigiets wysig. ’n Verbindingspoging na 3389 wat ’n time-out gee terwyl ’n gasagent-opdrag steeds uitset teruggee, dui op die gasheer se firewall. ’n Poort wat antwoord terwyl RDP steeds misluk, beteken die fout sit bo die netwerklaag, en hierdie herstelling sal dit nie raak nie. Let op watter van die twee jy gesien het, want die res van die plan hang daarvan af.

Twee hekke sluit onafhanklik

Die infrastruktuurbeleid loop eerste: die netwerksekuriteitsgroep sien die pakket voordat die gas dit sien. Daardie volgorde maak ’n perfekte NSG-inskrywing nutteloos wanneer die gasheer die pakket laat val, en ’n oop gasheer-reël nutteloos wanneer die infrastruktuur dit weier. Behandel hulle as aparte hekke en toets elkeen op sy eie.

Lees die NSG se effektiewe reëls in die portaal of CLI, en vergelyk dit dan met die gas se eie reëls. Moenie aanvaar dat die laaste verandering wat jy onthou, die een is wat in werking getree het nie.

’n Verbruikerskliënt kan ook ’n filterdrywer of ’n doodskakelaar installeer wat verkeer onder die Windows-firewall blokkeer. As die firewallreëls korrek lyk en die poort steeds misluk, is daardie laag die volgende verdagte.

Gebruik die gasagent as jou pad terug in

Twee afstanduitvoeringsfunksies, Run Command en die Custom Script Extension, loop binne die gas via die infrastruktuuragent. Nie een het RDP nodig nie, so die firewallfout raak hulle nie. Albei gee die script se uitset terug, wat hulle ’n diagnostiese kanaal sowel as ’n herstellingskanaal maak.

Lees die aktiewe profiel en die RDP-reël voordat jy enigeen verander:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Om inkomende reëls op daardie profiel weer te aktiveer, is ’n tydelike maatreël, nie ’n bestemming nie. Gebruik dit om ’n sessie te kry en sluit dan die gaping behoorlik:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Daardie skakelaar maak elke inkomende reël op die profiel oop, nie net RDP nie. Sodra jy ’n sessie het, vervang dit met ’n beperkte reël en herstel die instellings wat jy eintlik wil hê. As die agent ook onbeskikbaar is, is ’n reekskonsole of ’n herboude skyf die terugval, en dit is die praktiese rede om die agent gesond te hou.

Vernou die gat voordat jy die sessie sluit

Die tydelike profielverandering is ’n deur wat oopgehou word vir elke inkomende reël op daardie profiel. Vervang dit met ’n reël wat tot jou bronadres en die RDP-poort beperk is, en bevestig dan dat die profiel terug is in sy bedoelde toestand. Doen dit terwyl jy nog die sessie het, want die volgende fout is miskien nie op afstand omkeerbaar nie. Hou ’n tweede administratiewe pad soos Bastion of ’n reekskonsole gereed tydens die verandering.

Bevestig die resultaat vanaf jou werkstasie met ’n poorttoets, en van binne die gas met die reëllijst:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Skakel firewall-logging aan vir die duur van die toets. ’n Enkele lyn oor ’n weggegooide pakket wat 3389 en die aktiewe profiel noem, antwoord die vraag vinniger as nog ’n herlaai.

Keer dat die volgende installeerder dit weer doen

As daardie gasheer geen rede het om die kliënt te laat loop nie, verwyder dit. ’n Geïnstalleerde kliënt is ’n staande uitnodiging vir die volgende opdatering om die profiel weer te herskryf, en die volgende persoon sal dieselfde onderbreking vanaf die portaal ontfout.

Neem ’n momentopname van die skyf voordat jy enigiets netwerkinstellings laat herskryf, en hou ’n tweede administratiewe pad gereed voordat jy dit nodig het.

Teken op wat die installeerder verander het: adapters, roetes, firewallprofiele, filterdrywers en dienste. Daardie rekord maak die volgende voorval ’n bekende patroon in plaas van ’n nuwe ondersoek. Wanneer die VM ’n tonnel na presies een diens nodig het, sit die kliënt op jou werkstasie of bou ’n perseel-tot-perseel-skakel in plaas daarvan om ’n skootrekenaarproduk op die bediener te installeer. Verbruikerskliënte mik op skootrekenaars, en ’n bediener wat jy op afstand administreer is nie dit nie.