Uzaq kompüter VPN-ə qoşulanda RDP nə üçün donur

Siz RDP pəncərəsinin içindəsiniz, masaüstü ekrandadır və həmin uzaq maşında işləyən VPN müştərisində Connect düyməsini basırsınız. Saniyələr sonra pəncərə donur və sonra bağlanır. Tunel qalxdı, VPN jurnalının bildirəcəyi də məhz budur və bu, bütün hadisədə ən az faydalı faktdır. Sessiya öldü, çünki danışdığınız maşın sizə cavab vermə üsulunu dəyişdi, ona görə tunelə toxunmazdan əvvəl qayıdış yolunu yoxlayın.

Sessiyanızın həqiqətən istifadə etdiyi son nöqtəni qeyd edin

RDP müştərisinə yazdığınız ünvan mütləq uzaq kompüterin cavab verdiyi ünvan deyil. NAT, RD Gateway və ya hostun qarşısındakı yükləmə balanslaşdırıcısı onu yenidən yaza bilər, qayıdış yolu isə qurulmuş bağlantıda uzaq maşının gördüyü mənbə ünvanı ilə müəyyən edilir. Bunu səhv etsəniz, heç vaxt iştirak etməmiş bir marşrut axtarmağa başlayırsınız.

Uzaq kompüterdə, VPN qoşulmazdan əvvəl, qurulmuş sessiyaları siyahıya alın və cədvəldən peer ünvanını oxuyun. Sonra onu həmin maşından kənarda bir yerə yazın, çünki sessiya düşəndən sonra onu oxuya bilməyəcəksiniz.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Bu ünvanı əlçatan qalmalı olan şey kimi qəbul edin. Əgər bu, idarəetmə VLAN-ında özəl ünvandırsa, tunel o yola toxunmamalıdır. Əgər açıq ünvandırsa, cavab sorğunu içəri gətirən eyni interfeysdən çıxmalıdır.

Həmin son nöqtəyə cavab verən marşrutu oxuyun

Windows hər təyinat üçün interfeys seçir və Find-NetRoute indi verəcəyi qərarı göstərir. Qoşulmazdan əvvəl onu peer ünvanına qarşı işə salın, sonra tunel qalxmış halda yenidən, və iki cavabda interfeys indeksini və növbəti hopu müqayisə edin. İnterfeysin dəyişməsi bir sətirlik çıxışda bütün nasazlıqdır.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Tam tunel profili tuneldən keçən defolt marşrut quraşdırır, Windows VPN marşrutlaşdırma bələdçisi bunu təsvir etdiyi kimi, ona görə indi hər cavab VPN-dən çıxır və qarşı tərəfin müştərinizə geri marşrutlaşdırmasından asılıdır. Bölünmüş tunel profili defolt olaraq daha təhlükəsizdir, lakin immun deyil, çünki peer ünvanını əhatə edən konkret marşrut yenə də fiziki defolt marşrutu üstələyə bilər. Hər halda sual eynidir: tunel qalxdıqdan sonra peer ünvanı hələ də sessiyanı içəri gətirən interfeysə çevrilirmi?

Əgər belə deyilsə, düzəliş profilə və ya VPN siyasətinin sahibinin təsdiqlədiyi açıq istisna marşrutuna aiddir. Hadisə zamanı istehsal hostunda marşrut cədvəlini əl ilə redaktə etmək müvəqqəti həll yolunun sənədsiz konfiqurasiyaya çevrilmə üsuludur.

Qoruyucu divar profilinin dəyişməsini izləyin

Yeni interfeys görünəndə təsnif edilir və təsnifat onun trafikinin hansı qoruyucu divar profilinə görə qiymətləndiriləcəyini müəyyən edir. Public kateqoriyasına düşən tunel adapteri marşrut cədvəli mükəmməl görünsə də daxil olan RDP-ni səssizcə dayandıra bilər. Bu ikinci nasazlıq rejimidir və fərqli simptom verir: marşrut düzdür, paketlər gəlir, host isə bağlantını rədd edir.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Tunel interfeysinə bağlanmış profili Remote Desktop qaydalarının əhatə etdiyi profillərlə müqayisə edin. Yalnız Domain və Private üçün aktivləşdirilmiş qayda Public kimi təsnif edilmiş interfeys üçün heç nə etmir və heç bir marşrut düzəlişi bunu dəyişmir. Bəzi VPN müştəriləri də dizayn üzrə yerli subnetə girişi məhdudlaşdırır, bu isə fərqli nəzarətdən eyni formalı nasazlıq yaradır.

Keçidi bərpa edə biləcəyiniz yerdən sınayın

Bütün ardıcıllığı kənar konsoldan və ya ikinci idarəetmə yolundan bu qaydada edin: mövcud sessiyanı təsdiqləyin, VPN-i qoşun, yeni sessiya açın, sonra VPN-i ayırın və bir başqasını açın. Hər addım fərqli keçidi sınayır və ilk uğursuz olan hansı nəzarətin məsul olduğunu göstərir.

Geri qaytarmanı başlamazdan əvvəl planlaşdırın, məsələn müəyyən intervaldan sonra rasdial "Work VPN" /disconnect işlədən planlaşdırılmış tapşırıq. Bu, itirilmiş sessiyanı yerində ziyarət əvəzinə beş dəqiqəlik fasiləyə çevirir və bütün prosedurda ən ucuz sığortadır.

Sessiya artıq getdikdə yenidən içəri girin

Əgər host artıq əlçatmazdırsa, eyni müştəridən yeni RDP bağlantıları cəhd etməyi dayandırın və mühitin artıq malik olduğu bərpa kanalından istifadə edin: RD Gateway, hipervisor konsolu və ya kənar idarəetmə interfeysi. Konsol girişi olan şəxsdən eyni Find-NetRoute və Get-NetConnectionProfile əmrlərini işlətməsini xahiş edin ki, sübut bərpadan sonra da qalsın.

Sonra ən sürətli deyil, daimi quruluşu seçin. Ya idarəetmə yolu VPN profili ilə açıq şəkildə qorunur, ya da idarəetmə hostun defolt marşrutundan asılı olmayan kanala keçir. Hər ikisi müdafiə oluna bilər; təxmin edilmiş şlüz ilə host marşrutu isə yox. Hansını seçdiyinizi yazın və sağ qalmalı olan peer ünvanını qeyd edin.