سطح المكتب البعيد عبر VPN: في أي فشل أنت؟

نفقك يعمل، والويكي الداخلي يُحمَّل، ومع ذلك يرفض سطح المكتب البعيد الاتصال. هذه التركيبة طبيعية، لأن VPN يوفّر مسارًا إلى المضيف، بينما يجب أن تكون خدمة سطح المكتب في حالة استماع، ومسموحًا لها بجدار الحماية الخاص بها، ومستعدة لمصادقة الحساب. أربع مراحل فشل تفصل بين نفق عامل وجلسة قابلة للاستخدام، وكل واحدة تفشل برسالة مختلفة. اقرأ الرسالة أولًا، لأنها تسمّي المرحلة.

أربعة إخفاقات تبدو كإخفاق واحد

المراحل مرتبة: يُحلّ الاسم إلى العنوان الخاص الذي يقصده التصميم، ويستجيب المنفذ لمصافحة TCP، ويقبل المضيف الاتصال وفق سياسته، وتنجح مصادقة الجلسة. كل مرحلة تجعل المرحلة التالية غير قابلة للاختبار، ولهذا فإن تغيير إعدادات RDP قبل استقرار الشبكة لا ينتج سوى ضجيج. تبدو الأعراض متطابقة من جانب المستخدم في الحالات الأربع. ولا تفصل بينها إلا رسالة العميل.

موقع ويب داخلي عامل لا يثبت أيًا من الأربع. إنه يثبت أن مضيفًا على الشبكة نفسها استجاب على منفذ مختلف بخدمة مختلفة. اعتبر ذلك دليلًا على التوجيه ولا شيئًا أكثر.

اختبر بالترتيب وسجّل النتيجة. القفز إلى شاشة تسجيل الدخول لأن المنفذ استجاب هو الطريق إلى إنفاق عصر كامل على مشكلة جدار حماية حدّدتها الخطوة الأولى بالفعل.

هل يستمع أي شيء على 3389؟

ابدأ بالاسم، لأن اسمًا يُحلّ إلى العنوان الخاطئ يُبطل كل اختبار لاحق. اسأل مُحلّل النفق عن معنى الاسم، ثم قارن الجواب بالعنوان الخاص الذي يقصده التصميم لا باستجابة ناجحة. الاسم الذي يُحلّ إلى عنوان عام هو المشكلة كلها، ولن يصلحها أي تغيير في RDP:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

ثم اختبر المنفذ لا المضيف. مصافحة TCP مكتملة على 3389 تفصل الوصول عن كل ما يقع فوقه:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

نفّذ ذلك الاختبار من الشبكة المحلية ومن النفق، لأن الفرق بين النتيجتين يحدّد موقع العطل في مسار VPN. يوجد جدارا حماية في المسار ويسهل الخلط بينهما: يجب أن تسمح الشبكة لعنوان النفق الخاص بالعميل بالوصول إلى المضيف، ويجب أن يسمح جدار حماية المضيف نفسه بهذا المصدر على منفذ الاستماع. القاعدة المقتصرة على الشبكة المحلية الفرعية لا تغطي مجموعة عملاء VPN، وهذا هو السبب الأكثر شيوعًا لمهلة زمنية لا يبلّغ عنها إلا المستخدمون عن بُعد. افحص النطاق لا وجود القاعدة.

مسار العودة يستحق الفحص نفسه. تحتاج الردود إلى مسار عودة إلى مجموعة العملاء لا إلى الشبكة المحلية، ووجود ترجمة أمام المضيف يغيّر المصدر الذي سيُظهره سجلك. إذا استجاب المنفذ في اتجاه واحد لا في الآخر، فالنصف المفقود هو عادة مسار العودة.

اقرأ الرسالة قبل أن تقرأ الإعدادات

المرحلة الثالثة هي رفض المضيف الاتصال وفق سياسته، وهو ما يبدو غالبًا كمنفذ يُفتح ويُغلق فورًا. شيء ما استجاب، وهذه معلومة مفيدة لا صمت. إذا اكتملت المصافحة وماتت الجلسة فورًا، فالشبكة سليمة والمضيف هو من يقرر. راجع أذونات سطح المكتب البعيد قبل أن تلمس الشبكة مرة أخرى.

يمكن تمكين الميزة للجهاز بينما يقتصر الوصول على مجموعات محددة، ويمكن ربط المستمع بطرق تستبعد العنوان الذي وصلت منه. يضيف مصادقة مستوى الشبكة بوابة تفشل قبل تحميل سطح المكتب، ونص خطئها يختلف عن كلمة مرور خاطئة. قارن رسالة العميل بسجل أحداث المضيف، لأن الرسالة تسمّي البوابة والسجل يسمّي الحساب.

تسجيل دخول الجلسة حدّ بذاته

المصادقة تنتمي إلى خدمة سطح المكتب لا إلى VPN. هوية النفق وحساب سطح المكتب بيانات اعتماد منفصلة بسياسات إقفال منفصلة، لذا فإن نفقًا عاملًا يثبت فقط أن النفق قبلك. إقفال حساب سطح المكتب لا يزعج النفق، والعكس صحيح أيضًا.

احفظ الاثنين سليمين. عندما يكون المسار الخاص مفقودًا، أصلح المسار، لأن نشر المستمع على الإنترنت يقايض علة وصول بسطح مكتب مكشوف. لا تُضعف أيضًا فحوص هوية الجلسة لتجاوز تحذير شهادة ظهر في الوقت نفسه. الشهادة الموقّعة ذاتيًا على مستمع RDP تُنتج تحذيرًا بحكم التصميم، فقبولها قرار لا خطوة.

عُدّ المحاولات قبل إعادة المحاولة. عدّادات إقفال سطح المكتب تحسب عمليات تسجيل الدخول الفاشلة منفصلة عن إخفاقات VPN، والعميل الذي يعيد المحاولة وفق مؤقت يمكن أن يتجاوز الحد بينما ما زلت تحرّر قاعدة. هذه هي آلية إعادة المحاولة المتوازية نفسها التي تُقفل الحسابات بعد تغيير كلمة المرور.

ما يمكن للجلسة أن تنقله، وأين يبقى

تعلّم سير عمل تسجيل الخروج المعتمد قبل أن تحتاجه. قد يؤدي إغلاق النافذة إلى فصل العرض فقط بينما تستمر الجلسة في العمل وفق سياستها المكوّنة، وهذا مهم على مضيف مشترك أو خاضع للتدقيق. سجّل الخروج من داخل الجلسة عندما تتوقع السياسة ذلك.

ثم قرّر ما يجوز للجلسة أن تحمله، لأن الحافظة والأقراص المعاد توجيهها وإعادة توجيه الطابعات ونقل الملفات كلها تنقل بيانات بين النظامين المحلي والبعيد حيث تسمح السياسة. التطبيق المنشور الذي يعمل على الجانب البعيد ليس تلقائيًا حدًا يمنع التنزيل، والجلسة التي تبدو للقراءة فقط يمكنها مع ذلك حمل حافظة. اختبر المهمة الفعلية لا الاتصال: افتح الملف، واستخدم التطبيق، وتأكد من إعادة التوجيه التي تحتاجها. تصف إرشادات Microsoft بشأن الوصول إلى سطح مكتب بعيد من الخارج خيارات الكشف المدعومة، وهي مرجع أفضل من مستمع عام أُضيف تحت الضغط.