RDP спыняецца пасля ўсталявання VPN-кліента? Вінаваты брандмаўэр

Праз некалькі хвілін пасля завяршэння ўсталявання спажывецкага VPN-кліента партал усё яшчэ паказвае, што ВМ працуе, публічны IP не змяніўся, а RDP не адказвае. Звычайна людзі мяркуюць, што ВМ упала або змянілася сеткавая група бяспекі, і абодва меркаванні часцей за ўсё памылковыя. Змяніўся профіль брандмаўэра Windows, у якім знаходзіцца машына, і правіла RDP, якое раней падыходзіла, больш не падыходзіць. Рамонт пачынаецца з атрымання абалонкі праз шлях, які не залежыць ад RDP.

ВМ працуе; правіла перастала падыходзіць

Правілы брандмаўэра ў Windows маюць набор профіляў, і правіла, абмежаванае Прыватным або Дамэнным профілем, не дзейнічае, пакуль машына знаходзіцца ў Публічным профілі. Усталёўнікі VPN дадаюць адаптары і маршруты, і многія з іх узмацняюць Публічны профіль як пабочны эфект. Слухач застаецца прывязаным да 3389, і пакеты ўсё яшчэ прыходзяць, але неадпаведнасць профілю адкідае іх.

Стан харчавання і дасяжнасць — асобныя факты, і працуючая ВМ з зачыненым портам знешне выглядае дакладна як упалая.

Праверце порт, перш чым нешта змяняць. Спроба злучэння з 3389, якая сканчаецца тайм-аўтам, пакуль каманда гасцявога агента ўсё яшчэ вяртае вывад, паказвае на брандмаўэр хасцінга. Порт, які адказвае, але RDP усё яшчэ не ўдаецца, азначае, што няспраўнасць вышэй за сеткавы ўзровень, і гэты рамонт яе не закране. Запішыце, які з двух выпадкаў вы бачылі, бо астатні план залежыць ад гэтага.

Дзве брамы зачыняюцца незалежна

Палітыка фабрыкі дзейнічае першай: сеткавая група бяспекі бачыць пакет раней за госця. Гэты парадак робіць бездакорны запіс NSG бескарысным, калі хост адкідае пакет, а адчыненае правіла хоста — бескарысным, калі фабрыка яго адмаўляе. Разглядайце іх як асобныя брамы і правярайце кожную асобна.

Чытайце дзейныя правілы NSG у партале або CLI, потым параўнайце іх з уласнымі правіламі госця. Не мяркуйце, што апошняя змена, якую вы памятаеце, і ёсць тая, што ўступіла ў сілу.

Спажывецкі кліент можа таксама ўсталяваць драйвер фільтрацыі або «забойца», які блакуе трафік ніжэй за брандмаўэр Windows. Калі правілы брандмаўэра выглядаюць правільна, а порт усё яшчэ не працуе, наступны падазроны — гэты ўзровень.

Выкарыстайце гасцявы агент як шлях вяртання

Дзве функцыі аддаленага выканання, Run Command і Custom Script Extension, працуюць унутры госця праз агент фабрыкі. Ні адна не патрабуе RDP, таму памылка брандмаўэра на іх не ўплывае. Абедзве вяртаюць вывад скрыпта, што робіць іх каналам дыягностыкі і адначасова каналам рамонту.

Прачытайце дзейны профіль і правіла RDP, перш чым змяняць любое з іх:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Паўторнае ўключэнне ўваходных правілаў у гэтым профілі — часовая мера, а не мэта. Выкарыстайце яе, каб атрымаць сеанс, потым належна зачыніце прагал:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Гэты перамыкач адчыняе ўсе ўваходныя правілы профілю, а не толькі RDP. Атрымаўшы сеанс, заменіце яго абмежаваным правілам і аднавіце налады, якія вам сапраўды патрэбны. Калі агент таксама недаступны, рэзервовым варыянтам будзе паслядоўная кансоль або пераствораны дыск, і гэта практычная прычына трымаць агент здаровым.

Звузьце прагал, перш чым зачыніць сеанс

Часовая змена профілю — гэта дзверы, адчыненыя для кожнага ўваходнага правіла гэтага профілю. Заменіце яе правілам, абмежаваным вашым адрасам крыніцы і портам RDP, потым пацвердзіце, што профіль вярнуўся ў патрэбны стан. Зрабіце гэта, пакуль у вас яшчэ ёсць сеанс, бо наступная памылка можа не быць адваротнай аддалена. Трымайце другі адміністрацыйны шлях, напрыклад Bastion або паслядоўную кансоль, падчас змены.

Пацвердзіце вынік з працоўнай станцыі тэстам порта, а знутры госця — спісам правілаў:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Уключыце журнал брандмаўэра на час тэсту. Адзін радок пра адкінуты пакет, які называе 3389 і дзейны профіль, адказвае на пытанне хутчэй за чарговую перазагрузку.

Не дайце наступнаму ўсталёўніку паўтарыць гэта

Калі гэтаму хасцінгу няма сэнсу запускаць кліент, выдаліце яго. Усталяваны кліент — гэта сталае запрашэнне наступнаму абнаўленню зноў перапісаць профіль, і наступны чалавек будзе адладжваць тое ж перапыненне з партала.

Зрабіце здымак дыска, перш чым дазволіць чаму-небудзь перапісаць сеткавыя налады, і трымайце другі адміністрацыйны шлях гатовым, пакуль ён не спатрэбіўся.

Запішыце, што змяніў усталёўнік: адаптары, маршруты, профілі брандмаўэра, драйверы фільтрацыі і службы. Гэты запіс ператварае наступны інцыдэнт у вядомы ўзор замест новага расследавання. Калі ВМ патрэбен тунель роўна да адной службы, пастаўце кліент на сваю працоўную станцыю або пабудуйце сувязь паміж сайтамі замест усталявання на сервер прадукту для ноўтбука. Спажывецкія кліенты разлічаны на ноўтбукі, а сервер, якім вы кіруеце аддалена, — не такі.