RDP se zaustavlja nakon instalacije VPN klijenta? Kriv je vatrozid

Nekoliko minuta nakon što potrošački VPN klijent završi instalaciju, portal još tvrdi da VM radi, javna IP adresa nije promijenjena, a RDP ne odgovara. Ljudi obično pretpostavljaju da je VM pao ili da se promijenila mrežna sigurnosna grupa, a oboje je obično pogrešno. Promijenio se profil vatrozida za Windows u kojem se stroj nalazi, a RDP pravilo koje se prije podudaralo više se ne podudara. Popravak počinje dobivanjem ljuske putem koja ne ovisi o RDP-u.

VM radi; pravilo se prestalo podudarati

Pravila vatrozida u Windowsu nose skup profila, a pravilo ograničeno na Privatno ili Domena nema učinka dok je stroj na javnom profilu. Instalateri VPN-a dodaju adaptere i rute, a mnogi od njih pojačavaju javni profil kao nuspojavu. Slušatelj ostaje vezan za 3389 i paketi još pristižu, ali neusklađenost profila ih odbacuje.

Stanje napajanja i dostupnost zasebne su činjenice, a VM koji radi sa zatvorenim portom izvana izgleda točno kao srušeni.

Provjerite port prije nego što bilo što promijenite. Pokušaj povezivanja na 3389 koji završi istekom vremena dok naredba gostujućeg agenta još vraća izlaz upućuje na vatrozid hosta. Port koji odgovara, a RDP i dalje ne uspijeva, znači da je kvar iznad mrežnog sloja i ovaj popravak ga neće dotaknuti. Zabilježite koji ste od dva slučaja vidjeli, jer ostatak plana ovisi o tome.

Dvoja vrata zatvaraju se neovisno

Politika platforme ide prva: mrežna sigurnosna grupa vidi paket prije gosta. Taj poredak čini savršen NSG unos beskorisnim kada host odbaci paket, a otvoreno pravilo hosta beskorisnim kada ga platforma odbije. Tretirajte ih kao zasebna vrata i testirajte svaka zasebno.

Pročitajte važeća pravila NSG-a na portalu ili u CLI-ju, pa ih usporedite s vlastitim pravilima gosta. Ne pretpostavljajte da je zadnja promjena koju pamtite ona koja je stupila na snagu.

Potrošački klijent može instalirati i upravljački program filtra ili kill switch koji blokira promet ispod vatrozida za Windows. Ako pravila vatrozida izgledaju ispravno, a port i dalje ne uspijeva, taj je sloj sljedeći osumnjičenik.

Upotrijebite gostujući agent kao put natrag

Dvije funkcije daljinskog izvršavanja, Run Command i Custom Script Extension, rade unutar gosta preko agenta platforme. Nijednoj ne treba RDP, pa na njih greška vatrozida ne utječe. Obje vraćaju izlaz skripte, što ih čini dijagnostičkim i popravnim kanalom istodobno.

Pročitajte aktivni profil i RDP pravilo prije nego što promijenite bilo koje od njih:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Ponovno omogućavanje ulaznih pravila na tom profilu privremena je mjera, a ne cilj. Upotrijebite je da dobijete sesiju, a zatim pravilno zatvorite prazninu:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Taj prekidač otvara svako ulazno pravilo na profilu, ne samo RDP. Kad imate sesiju, zamijenite ga suženim pravilom i vratite postavke koje doista želite. Ako ni agent nije dostupan, rezervna je opcija serijska konzola ili ponovno izgrađen disk, i to je praktični razlog da agent bude zdrav.

Suzite prazninu prije nego što zatvorite sesiju

Privremena promjena profila vrata su držana otvorena za svako ulazno pravilo tog profila. Zamijenite je pravilom ograničenim na vašu izvornu adresu i RDP port, a zatim potvrdite da se profil vratio u namjeravano stanje. Učinite to dok još imate sesiju, jer sljedeća pogreška možda neće biti povratna na daljinu. Držite drugi administrativni put, poput Bastiona ili serijske konzole, spremnim tijekom promjene.

Potvrdite rezultat sa svoje radne stanice testom porta, a iz unutrašnjosti gosta popisom pravila:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Uključite zapisivanje vatrozida na vrijeme testa. Jedan redak o odbačenom paketu koji navodi 3389 i aktivni profil odgovara na pitanje brže od još jednog ponovnog pokretanja.

Spriječite sljedećeg instalatera da to ponovi

Ako taj host nema razloga pokretati klijent, deinstalirajte ga. Instalirani klijent stalni je poziv sljedećem ažuriranju da ponovno prepiše profil, a sljedeća će osoba otklanjati isti prekid s portala.

Napravite snimku diska prije nego što pustite bilo što da prepiše mrežne postavke, i držite drugi administrativni put spremnim prije nego što vam zatreba.

Zabilježite što je instalater promijenio: adaptere, rute, profile vatrozida, upravljačke programe filtra i usluge. Taj zapis pretvara sljedeći incident u poznati obrazac umjesto nove istrage. Kad VM-u treba tunel točno do jedne usluge, stavite klijent na svoju radnu stanicu ili izgradite vezu između lokacija umjesto da na poslužitelj instalirate proizvod za prijenosna računala. Potrošački klijenti ciljaju prijenosna računala, a poslužitelj kojim upravljate na daljinu to nije.