Pot substituir una VPN l'escriptori remot? Què fa cada cosa

S'obre una finestra, demana credencials, després queda en blanc o es tanca, i l'usuari informa que la VPN ha trencat l'accés remot. De vegades el túnel està bé i la sessió no va començar mai. Saber on s'executa realment l'aplicació és el que separa aquests casos, perquè un túnel i una sessió d'escriptori ofereixen coses diferents i fallen en llocs diferents.

Un túnel dona al vostre dispositiu un camí cap a una xarxa. Una sessió d'escriptori us dona una pantalla i un teclat enganxats a una altra màquina.

El símptoma depèn d'on s'executa l'aplicació

Amb accés directe a través d'un túnel, l'aplicació s'executa al vostre propi dispositiu i les seves peticions travessen la ruta privada permesa fins a un recurs compartit o un lloc intern. Si aquesta aplicació falla, esteu davant d'un problema de resolució de noms o d'encaminament, i el programa local es comporta normalment en la resta.

Amb una sessió remota, l'aplicació s'executa a la màquina llunyana i el vostre dispositiu en rep una imatge. Això canvia del tot la llista de fallades: l'amfitrió de la sessió ha d'estar disponible, el servei que accepta connexions ha d'estar escoltant, i el vostre compte ha d'estar autoritzat tant al túnel com a l'amfitrió. Una finestra en blanc després d'un inici de sessió correcte al túnel normalment vol dir que la segona autenticació no va arribar a funcionar.

Els dos dissenys poden conviure per al mateix usuari. Una disposició habitual requereix primer el túnel i després una sessió d'escriptori a dins, i per això és tan fàcil llegir un èxit parcial com una sola funció espatllada.

El rendiment segueix la càrrega de treball, no l'etiqueta

Obrir un fitxer gran directament a través d'un túnel mou aquest fitxer per la xarxa, i el retard visible segueix la transferència i no el clic. En una sessió remota pot ser que el fitxer no surti mai del centre de dades, cosa que elimina la transferència i la substitueix per refresc de pantalla i latència d'entrada. Cap dels dos dissenys és més ràpid en general, perquè mouen coses diferents. Pregunteu per quina quantitat espera realment l'usuari abans de triar una mètrica.

Aquesta diferència importa quan algú informa de lentitud. Una sessió remota que sembla lenta mentre s'escriu és sensible al retard d'anada i tornada, mentre que obrir un fitxer directament pel mateix túnel és sensible al cabal. Mesureu la tasca i no una xifra genèrica de velocitat, i proveu l'operació concreta de què es queixa l'usuari.

El treball interactiu per un camí d'alta latència empitjora com més canvia la pantalla, i per això desplaçar-se per un document se sent diferent de mirar una finestra estàtica. Si la queixa és sobre la capacitat de resposta i no sobre el temps d'acabament, la ubicació de la càrrega de treball és la variable que val la pena canviar.

Comproveu cada capa per separat quan falla

Treballeu de fora cap a dins i anoteu què retorna cada pas, perquè reiniciar-ho tot alhora destrueix les proves. Confirmeu que el túnel està aixecat, després que la ruta privada es resol, després que l'amfitrió de la sessió accepta connexions, després que el vostre compte hi està permès.

Test-NetConnection -ComputerName 172.20.8.30 -Port 3389
Resolve-DnsName workstation-14.corp.example
qwinsta /server:172.20.8.30

Una ruta que respon i un port que refusa són resultats diferents, i un port que respon mentre es rebutgen les vostres credencials és un tercer. On el desplegament fa servir una passarel·la d'accés gestionada en lloc d'un túnel cap a l'oficina, seguiu aquesta arquitectura en comptes d'exposar un servei d'escriptori a internet perquè una ruta privada ha fallat.

El xifratge i l'autorització també són feines separades. El túnel xifra el camí, mentre que el protocol de sessió us autentica davant d'un amfitrió i l'aplicació pot autenticar-vos una altra vegada. Passar la primera comprovació no us diu res sobre la tercera, i les orientacions per arribar a un PC remot des de fora de la xarxa descriuen les peces que necessita un desplegament que funcioni.

Decidiu què ha de quedar dins de l'organització

Suposar que una sessió remota manté cada document al centre de dades no és segur. Compartir el porta-retalls, les unitats redirigides i la impressió poden moure informació entre els dos entorns sempre que la política ho permeti, i un túnel no limita quins fitxers copia un usuari autoritzat d'un recurs compartit accessible. Si el requisit és el confinament, reviseu els controls reals de transferència de la sessió en comptes de confiar en el diagrama d'arquitectura. Pregunteu al propietari de la sessió quines redireccions estan activades abans de prometre res en el seu nom.

La durada de la sessió és l'altra sorpresa. Tancar la finestra pot deixar la sessió en marxa a l'amfitrió, així que perdre el túnel pot fer-la només temporalment inabastable. Apreneu la manera aprovada d'acabar la feina en una màquina compartida, i comproveu l'amfitrió després en comptes de suposar que el tancament de sessió s'ha fet.

Anoteu quina capa ha fallat, què heu canviat i què ha de tornar a provar l'usuari. Aquest registre val més que una solució que ningú no pot reproduir.