RDP s’atura després d’instal·lar un client VPN? És el tallafocs

Al cap de pocs minuts d’acabar la instal·lació d’un client VPN de consum, el portal encara diu que la VM s’executa, la IP pública no ha canviat i l’RDP no respon. La gent sol suposar que la VM s’ha penjat o que el grup de seguretat de xarxa ha canviat, i les dues coses solen ser falses. El que ha canviat és el perfil del tallafocs de Windows en què es troba la màquina, i la regla d’RDP que abans coincidia ja no hi coincideix. La reparació comença per obtenir una shell per una via que no depengui de l’RDP.

La VM s’executa; la regla ha deixat de coincidir

Les regles del tallafocs de Windows porten un conjunt de perfils, i una regla limitada a Privat o Domini no té efecte mentre la màquina és al perfil Públic. Els instal·ladors de VPN afegeixen adaptadors i rutes, i diversos enduriran el Públic com a efecte secundari. L’oient continua lligat al 3389 i els paquets encara arriben, però el desajust de perfil els descarta.

L’estat d’energia i l’abastabilitat són fets separats, i una VM en marxa amb un port tancat sembla des de fora exactament una de penjada.

Prova el port abans de tocar res. Un intent de connexió al 3389 que expira mentre una ordre de l’agent convidat encara retorna sortida assenyala el tallafocs de l’amfitrió. Un port que respon mentre l’RDP continua fallant vol dir que la fallada és per sobre de la capa de xarxa, i aquesta reparació no hi tocarà. Anota quin dels dos casos has vist, perquè la resta del pla en depèn.

Dues portes es tanquen de manera independent

La política de la plataforma va primer: el grup de seguretat de xarxa veu el paquet abans que el convidat. Aquest ordre fa inútil una entrada d’NSG perfecta quan l’amfitrió descarta el paquet, i inútil una regla oberta d’amfitrió quan la plataforma la denega. Tracta’ls com a portes separades i prova cada una pel seu compte.

Llegeix les regles efectives de l’NSG al portal o a la CLI i compara-les després amb les regles pròpies del convidat. No donis per fet que l’últim canvi que recordes és el que ha entrat en vigor.

Un client de consum també pot instal·lar un controlador de filtre o un interruptor d’emergència que bloquegi el trànsit per sota del tallafocs de Windows. Si les regles del tallafocs semblen correctes i el port continua fallant, aquesta capa és el següent sospitós.

Fes servir l’agent convidat com a via de tornada

Dues funcions d’execució remota, Run Command i la Custom Script Extension, s’executen dins del convidat mitjançant l’agent de la plataforma. Cap de les dues no necessita RDP, així que l’error del tallafocs no les afecta. Totes dues retornen la sortida de l’script, cosa que les converteix en canal de diagnòstic i també de reparació.

Llegeix el perfil actiu i la regla d’RDP abans de canviar-ne cap dels dos:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Tornar a activar les regles d’entrada en aquest perfil és una mesura temporal, no una destinació. Fes-la servir per obtenir una sessió i després tanca el forat com cal:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Aquest interruptor obre totes les regles d’entrada del perfil, no només l’RDP. Quan tinguis una sessió, substitueix-lo per una regla limitada i restaura els paràmetres que realment vols. Si l’agent tampoc no hi és, la solució de recanvi és una consola sèrie o un disc reconstruït, i aquesta és la raó pràctica de mantenir l’agent sa.

Estreta el forat abans de tancar la sessió

El canvi temporal de perfil és una porta oberta a totes les regles d’entrada d’aquest perfil. Substitueix-lo per una regla limitada a la teva adreça d’origen i al port d’RDP, i després confirma que el perfil ha tornat al seu estat previst. Fes-ho mentre encara tens la sessió, perquè el proper error potser no serà reversible en remot. Mantén una segona via administrativa com Bastion o una consola sèrie durant el canvi.

Confirma el resultat des de la teva estació de treball amb una prova de port, i des de dins del convidat amb la llista de regles:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Activa el registre del tallafocs mentre duri la prova. Una sola línia de paquet descartat que anomeni el 3389 i el perfil actiu respon la pregunta més de pressa que un altre reinici.

Evita que el proper instal·lador ho torni a fer

Si aquest amfitrió no té cap motiu per executar el client, desinstal·la’l. Un client instal·lat és una invitació permanent perquè la propera actualització reescrigui el perfil una altra vegada, i la propera persona depurarà la mateixa caiguda des del portal.

Fes una instantània del disc abans de deixar que res reescrigui la configuració de xarxa, i tingues una segona via administrativa a punt abans de necessitar-la.

Anota què ha modificat l’instal·lador: adaptadors, rutes, perfils de tallafocs, controladors de filtre i serveis. Aquest registre converteix el proper incident en un patró conegut en lloc d’una investigació nova. Quan la VM necessiti un túnel cap a exactament un servei, posa el client a la teva estació de treball o munta un enllaç lloc a lloc en lloc d’instal·lar al servidor un producte per a portàtils. Els clients de consum apunten als portàtils, i un servidor que administres en remot no ho és.