RDP po instalaci VPN klienta přestane fungovat? Na vině je firewall

Několik minut po dokončení instalace spotřebitelského VPN klienta portál stále tvrdí, že VM běží, veřejná IP se nezměnila, a přesto RDP neodpovídá. Lidé obvykle předpokládají, že VM spadla nebo že se změnila skupina zabezpečení sítě, a obojí bývá špatně. Změnil se profil brány Windows, ve kterém stroj je, a pravidlo RDP, které dřív odpovídalo, už neodpovídá. Oprava začíná získáním shellu cestou, která na RDP nezávisí.

VM běží; pravidlo přestalo odpovídat

Pravidla brány Windows nesou sadu profilů a pravidlo omezené na Privátní nebo Doménový nemá žádný účinek, dokud stroj sedí ve Veřejném profilu. Instalátory VPN přidávají adaptéry a trasy a řada z nich Veřejný profil zpřísní jako vedlejší účinek. Naslouchač zůstává svázán s 3389 a pakety stále dorazí, ale nesoulad profilu je zahodí.

Stav napájení a dostupnost jsou oddělené skutečnosti a běžící VM s uzavřeným portem vypadá zvenčí přesně jako spadlá.

Otestujte port, než cokoli změníte. Pokus o připojení na 3389, který vyprší, zatímco příkaz hostitelského agenta stále vrací výstup, ukazuje na firewall hostitele. Port, který odpovídá, a RDP přesto selhává, znamená, že závada je nad síťovou vrstvou a tato oprava se jí nedotkne. Poznamenejte si, který ze dvou případů jste viděli, protože na tom závisí zbytek plánu.

Dvě brány se zavírají nezávisle

Jako první běží politika platformy: skupina zabezpečení sítě vidí paket dřív než host. Toto pořadí dělá dokonalou položku NSG zbytečnou, když hostitel paket zahodí, a otevřené pravidlo hostitele zbytečným, když ho platforma odmítne. Berte je jako oddělené brány a každou testujte samostatně.

Přečtěte si platná pravidla NSG na portálu nebo v CLI a pak je porovnejte s vlastními pravidly hosta. Nepředpokládejte, že poslední změna, kterou si pamatujete, je ta, která vstoupila v platnost.

Spotřebitelský klient může také nainstalovat filtr ovladače nebo kill switch, který blokuje provoz pod bránou Windows. Pokud pravidla brány vypadají správně a port stále selhává, je další podezřelou vrstvou právě ta.

Použijte hostitelského agenta jako cestu zpět

Dvě funkce vzdáleného spouštění, Run Command a Custom Script Extension, běží uvnitř hosta prostřednictvím agenta platformy. Ani jedna nepotřebuje RDP, takže se jich chyba brány netýká. Obě vracejí výstup skriptu, což z nich dělá diagnostický i opravný kanál.

Přečtěte si aktivní profil a pravidlo RDP, než změníte kterékoli z nich:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Opětovné zapnutí příchozích pravidel v tomto profilu je dočasné opatření, ne cíl. Použijte ho k získání relace a pak mezeru řádně uzavřete:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Tento přepínač otevírá každé příchozí pravidlo profilu, ne jen RDP. Jakmile máte relaci, nahraďte ho omezeným pravidlem a obnovte nastavení, která skutečně chcete. Pokud agent také není dostupný, záložním řešením je sériová konzola nebo přestavěný disk, a to je praktický důvod udržovat agenta v pořádku.

Zúžte mezeru, než zavřete relaci

Dočasná změna profilu je dveře držené otevřené pro každé příchozí pravidlo tohoto profilu. Nahraďte ji pravidlem omezeným na vaši zdrojovou adresu a port RDP a potom ověřte, že se profil vrátil do zamýšleného stavu. Udělejte to, dokud ještě máte relaci, protože příští chyba nemusí být na dálku vratná. Během změny mějte připravenou druhou administrativní cestu, například Bastion nebo sériovou konzoli.

Ověřte výsledek ze své pracovní stanice testem portu a zevnitř hosta seznamem pravidel:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Na dobu testu zapněte protokolování brány. Jediný řádek o zahozeném paketu, který uvádí 3389 a aktivní profil, odpoví na otázku rychleji než další restart.

Zabraňte, aby to příští instalátor udělal znovu

Pokud tento hostitel nemá důvod klienta provozovat, odinstalujte ho. Nainstalovaný klient je stálé pozvání, aby příští aktualizace profil znovu přepsala, a příští člověk bude ladit stejný výpadek z portálu.

Pořiďte snímek disku, než něčemu dovolíte přepsat síťová nastavení, a mějte druhou administrativní cestu připravenou dřív, než ji budete potřebovat.

Zapište, co instalátor změnil: adaptéry, trasy, profily brány, filtr ovladače a služby. Takový záznam promění příští incident ve známý vzorec místo nového vyšetřování. Když VM potřebuje tunel přesně k jedné službě, dejte klienta na svou pracovní stanici nebo postavte propojení mezi lokalitami, místo abyste na server instalovali produkt pro notebooky. Spotřebitelské klienty cílí na notebooky a server, který spravujete na dálku, takový není.