VPN müştərisi quraşdırıldıqdan sonra RDP dayanır? Səbəb firewall-dır

İstehlakçı VPN müştərisi quraşdırılmasını bitirdikdən bir neçə dəqiqə sonra portal hələ də VM-in işlədiyini deyir, ictimai IP dəyişməyib və RDP cavab vermir. İnsanlar adətən VM-in çökdüyünü və ya şəbəkə təhlükəsizlik qrupunun dəyişdiyini düşünür, amma hər ikisi adətən səhvdir. Dəyişən şey maşının yerləşdiyi Windows firewall profilidir və əvvəl uyğun gələn RDP qaydası artıq uyğun gəlmir. Düzəliş RDP-dən asılı olmayan bir yolla əmr qabığı əldə etməklə başlayır.

VM işləyir; qayda uyğun gəlməyi dayandırdı

Windows-da firewall qaydaları profil dəsti daşıyır və Şəxsi və ya Domen profilinə məhdudlaşdırılmış qayda maşın İctimai profildə oturduqca heç bir təsir göstərmir. VPN quraşdırıcıları adapterlər və marşrutlar əlavə edir və onların bir çoxu yan təsir kimi İctimai profili sərtləşdirir. Dinləyici 3389-a bağlı qalır və paketlər hələ də gəlir, lakin profil uyğunsuzluğu onları atır.

Enerji vəziyyəti və əlçatanlıq ayrı faktlardır və bağlı portu olan işlək VM kənardan tamamilə çökmüş VM kimi görünür.

Hər hansı dəyişiklik etməzdən əvvəl portu yoxlayın. 3389-a qoşulma cəhdi vaxt aşımına uğrayarkən qonaq agentinin əmri hələ də çıxış qaytarırsa, bu host firewalluna işarə edir. Port cavab verir, amma RDP hələ də uğursuz olursa, nasazlıq şəbəkə qatından yuxarıdadır və bu təmir ona toxunmayacaq. Hansı iki halı gördüyünüzü qeyd edin, çünki planın qalanı bundan asılıdır.

İki qapı bir-birindən asılı olmayaraq bağlanır

Əvvəlcə fabric siyasəti işləyir: şəbəkə təhlükəsizlik qrupu paketi qonaqdan əvvəl görür. Bu sıra host paketi atanda mükəmməl NSG girişini faydasız, fabric onu rədd edəndə isə açıq host qaydasını faydasız edir. Onlara ayrı qapılar kimi baxın və hər birini tək-tək yoxlayın.

Portalda və ya CLI-də NSG-nin effektiv qaydalarını oxuyun, sonra onları qonağın öz qaydaları ilə müqayisə edin. Yadınızda qalan son dəyişikliyin qüvvəyə mindiyini güman etməyin.

İstehlakçı müştərisi həmçinin Windows firewallunun altında trafiki bloklayan filtr sürücüsü və ya öldürmə açarı quraşdıra bilər. Firewall qaydaları düzgün görünürsə və port hələ də uğursuz olursa, növbəti şübhəli həmin qatdır.

Qonaq agentindən geri dönüş yolu kimi istifadə edin

Run Command və Custom Script Extension adlı iki uzaq icra funksiyası qonağın içində fabric agenti vasitəsilə işləyir. Heç biri RDP tələb etmir, ona görə firewall səhvi onlara təsir etmir. Hər ikisi skriptin çıxışını qaytarır, bu da onları diaqnostika kanalı və təmir kanalı edir.

Aktiv profili və RDP qaydasını hər hansı birini dəyişməzdən əvvəl oxuyun:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Həmin profildə gələn qaydaları yenidən aktivləşdirmək müvəqqəti tədbirdir, hədəf deyil. Ondan sessiya almaq üçün istifadə edin, sonra boşluğu düzgün bağlayın:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Həmin açar profildəki hər gələn qaydayı açır, təkcə RDP-ni deyil. Sessiyanız olduqdan sonra onu məhdudlaşdırılmış qayda ilə əvəz edin və əslində istədiyiniz parametrləri bərpa edin. Agent də əlçatan deyilsə, ehtiyat variant seriya konsolu və ya yenidən qurulmuş diskdir və agenti sağlam saxlamağın praktik səbəbi budur.

Sessiyanı bağlamazdan əvvəl deşiyi daraldın

Müvəqqəti profil dəyişikliyi həmin profildəki hər gələn qayda üçün açıq saxlanılan qapıdır. Onu mənbə ünvanınıza və RDP portuna məhdudlaşdırılmış qayda ilə əvəz edin, sonra profilin nəzərdə tutulan vəziyyətə qayıtdığını təsdiqləyin. Bunu hələ sessiyanız varkən edin, çünki növbəti səhv uzaqdan geri qaytarıla bilməyə bilər. Dəyişiklik zamanı Bastion və ya seriya konsolu kimi ikinci inzibati yolu hazır saxlayın.

Nəticəni iş stansiyanızdan port testi ilə, qonağın içindən isə qaydalar siyahısı ilə təsdiqləyin:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Test müddətində firewall jurnalını yandırın. 3389 və aktiv profili göstərən tək bir atılmış paket sətri suala başqa yenidən başlatmadan daha sürətli cavab verir.

Növbəti quraşdırıcının bunu təkrarlamasının qarşısını alın

Həmin hostun müştərini işlətməyə heç bir səbəbi yoxdursa, onu silin. Quraşdırılmış müştəri növbəti yeniləmə üçün profili yenidən yazmağa daimi dəvətdir və növbəti şəxs eyni kəsintini portaldan ayıklayacaq.

Nəyinsə şəbəkə parametrlərini yenidən yazmasına icazə verməzdən əvvəl diskin anlık görüntüsünü götürün və ehtiyac duymazdan əvvəl ikinci inzibati yolu hazır saxlayın.

Quraşdırıcının nəyi dəyişdiyini qeyd edin: adapterlər, marşrutlar, firewall profilləri, filtr sürücüləri və xidmətlər. Bu qeyd növbəti hadisəni yeni araşdırma yerinə tanınan naxışa çevirir. VM yalnız bir xidmətə tunel lazım olduqda, müştərini iş stansiyanıza qoyun və ya serverə noutbuk məhsulu quraşdırmaq yerinə saytlararası keçid qurun. İstehlakçı müştəriləri noutbuklara hesablanıb və uzaqdan idarə etdiyiniz server belə deyil.