توقف RDP بعد تثبيت عميل VPN؟ إنه جدار الحماية

بعد دقائق من انتهاء تثبيت عميل VPN تجاري، لا تزال البوابة تقول إن الجهاز الظاهري يعمل، ولم يتغير عنوان IP العام، ومع ذلك لا يستجيب RDP. يفترض الناس عادة أن الجهاز الظاهري تعطّل أو أن مجموعة أمان الشبكة تغيّرت، وكلا الافتراضين خاطئ في الغالب. الذي تغيّر هو ملف تعريف جدار حماية Windows الذي يعمل عليه الجهاز، وقاعدة RDP التي كانت تنطبق لم تعد تنطبق. يبدأ الإصلاح بالحصول على صدفة عبر مسار لا يعتمد على RDP.

الجهاز الظاهري يعمل؛ والقاعدة لم تعد تنطبق

تحمل قواعد جدار الحماية في Windows مجموعة من ملفات التعريف، والقاعدة المقصورة على ملف «الخاص» أو «النطاق» لا تأثير لها ما دام الجهاز على ملف «العام». يضيف مثبّتو VPN محوّلات ومسارات، وكثير منهم يشدّدون ملف «العام» كأثر جانبي. يبقى المستمع مرتبطًا بالمنفذ 3389 وتصل الحزم كما هي، لكن عدم تطابق ملف التعريف يرفضها.

حالة الطاقة وإمكانية الوصول حقيقتان منفصلتان، والجهاز الظاهري العامل بمنفذ مغلق يبدو من الخارج تمامًا كجهاز تعطّل.

افحص المنفذ قبل تعديل أي شيء. محاولة اتصال بالمنفذ 3389 تنتهي مهلتها بينما لا يزال أمر وكيل الضيف يعيد مخرجات تشير إلى جدار حماية المضيف. منفذ يستجيب بينما يستمر فشل RDP يعني أن العطل فوق طبقة الشبكة، وأن هذا الإصلاح لن يمسّه. سجّل أي الحالتين رأيت، لأن بقية الخطة تعتمد عليها.

بوابتان تُغلقان باستقلال

سياسة النسيج تعمل أولًا: ترى مجموعة أمان الشبكة الحزمة قبل أن يراها الضيف. هذا الترتيب يجعل إدخال NSG المثالي عديم الفائدة عندما يُسقط المضيف الحزمة، وقاعدة المضيف المفتوحة عديمة الفائدة عندما يرفضها النسيج. تعامل معهما كبوابتين منفصلتين واختبر كل واحدة بمفردها.

اقرأ القواعد الفعّالة لمجموعة أمان الشبكة في البوابة أو CLI، ثم قارنها بقواعد الضيف نفسها. لا تفترض أن آخر تغيير تتذكره هو الذي سرى.

يمكن لعميل تجاري أيضًا أن يثبّت برنامج تشغيل تصفية أو مفتاح إيقاف يحجب المرور تحت جدار حماية Windows. إذا بدت قواعد جدار الحماية صحيحة والمنفذ ما زال يفشل، فتلك الطبقة هي المشتبه التالي.

استخدم وكيل الضيف كطريق للعودة

تعمل ميزتان للتنفيذ عن بُعد، Run Command وCustom Script Extension، داخل الضيف عبر وكيل النسيج. لا تحتاج أي منهما إلى RDP، لذا لا تؤثر فيهما خطأ جدار الحماية. كلتاهما تعيد مخرجات السكربت، ما يجعلهما قناة تشخيص وقناة إصلاح في الوقت نفسه.

اقرأ ملف التعريف النشط وقاعدة RDP قبل تغيير أي منهما:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

إعادة تمكين القواعد الواردة على ذلك الملف إجراء مؤقت، وليست غاية. استخدمها للحصول على جلسة، ثم أغلق الثغرة بشكل صحيح:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

يفتح ذلك المفتاح كل قاعدة واردة على الملف، وليس RDP فقط. بمجرد حصولك على جلسة، استبدله بقاعدة مقصورة وأعد الإعدادات التي تريدها فعلاً. إذا كان الوكيل غير متاح أيضًا، فالطريق الاحتياطي هو وحدة تحكم تسلسلية أو قرص معاد بناؤه، وهذا هو السبب العملي للحفاظ على سلامة الوكيل.

ضيّق الثغرة قبل أن تغلق الجلسة

تغيير ملف التعريف المؤقت باب مفتوح أمام كل قاعدة واردة على ذلك الملف. استبدله بقاعدة مقصورة على عنوان المصدر لديك ومنفذ RDP، ثم تأكد من عودة الملف إلى حالته المقصودة. افعل ذلك ما دمت تملك الجلسة، لأن الخطأ التالي قد لا يكون قابلًا للعكس عن بُعد. أبقِ مسارًا إداريًا ثانيًا مثل Bastion أو وحدة تحكم تسلسلية أثناء التغيير.

تأكد من النتيجة من محطة عملك باختبار منفذ، ومن داخل الضيف بقائمة القواعد:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

شغّل تسجيل جدار الحماية طوال مدة الاختبار. سطر واحد عن حزمة مُسقطة يذكر 3389 وملف التعريف النشط يجيب عن السؤال أسرع من إعادة تشغيل أخرى.

أوقف المثبّت التالي عن تكرار ذلك

إذا لم يكن لذلك المضيف سبب لتشغيل العميل، فأزله. العميل المثبّت دعوة دائمة للتحديث التالي كي يعيد كتابة ملف التعريف، وسيصحح الشخص التالي نفس الانقطاع من البوابة.

خذ لقطة للقرص قبل أن تسمح لأي شيء بإعادة كتابة إعدادات الشبكة، وأبقِ مسارًا إداريًا ثانيًا جاهزًا قبل أن تحتاجه.

سجّل ما عدّله المثبّت: المحوّلات والمسارات وملفات تعريف جدار الحماية وبرامج تشغيل التصفية والخدمات. يحوّل ذلك السجل الحادث التالي إلى نمط معروف بدل تحقيق جديد. عندما يحتاج الجهاز الظاهري نفقًا إلى خدمة واحدة بالضبط، ضع العميل على محطة عملك أو ابنِ رابطًا بين موقعين بدل تثبيت منتج حاسوب محمول على الخادم. عملاء المستهلكين يستهدفون الحواسيب المحمولة، والخادم الذي تديره عن بُعد ليس كذلك.