Vzdálená plocha přes VPN: ve které poruše se nacházíte?

Tunel běží, interní wiki se načítá, a vzdálená plocha přesto odmítá spojení. Taková kombinace je normální, protože VPN poskytuje trasu k hostiteli, zatímco služba vzdálené plochy musí naslouchat, být povolena vlastním firewallem a být ochotna ověřit účet. Mezi funkčním tunelem a použitelnou relací stojí čtyři fáze poruchy a každá selhává s jinou zprávou. Přečtěte nejprve zprávu, protože pojmenovává fázi.

Čtyři poruchy, které vypadají jako jedna

Fáze jsou seřazené: jméno se přeloží na privátní adresu, kterou návrh zamýšlí, port odpovídá na TCP handshake, hostitel přijme spojení podle své vlastní politiky a přihlášení do relace uspěje. Každá fáze dělá tu následující netestovatelnou, a proto změny nastavení RDP před zklidněním sítě vytvářejí jen šum. Příznak vypadá ze strany uživatele ve všech čtyřech případech stejně. Rozděluje je pouze zpráva klienta.

Funkční interní web neprokazuje ani jednu ze čtyř. Prokazuje, že hostitel ve stejné síti odpověděl na jiném portu jinou službou. Berte to jako důkaz o směrování a nic víc.

Testujte popořadě a výsledek si zapište. Skočit na přihlašovací obrazovku, protože port odpověděl, je způsob, jak strávit odpoledne problémem firewallu, který první krok už lokalizoval.

Naslouchá na 3389 něco?

Začněte jménem, protože jméno, které se přeloží na špatnou adresu, zneplatní každý další test. Zeptejte se resolveru tunelu, co jméno znamená, a pak odpověď porovnejte s privátní adresou, kterou návrh zamýšlí, ne s úspěšnou odpovědí. Jméno, které se přeloží na veřejnou adresu, je celý problém a žádná změna RDP ho nespraví:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Potom testujte port, ne hostitele. Dokončený TCP handshake na 3389 odděluje dosažitelnost od všeho nad ní:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Proveďte tento test z LAN i z tunelu, protože rozdíl mezi oběma výsledky lokalizuje závadu na cestu VPN. Na cestě stojí dva firewally a snadno se zamění: síť musí povolit adrese tunelu klienta dosáhnout hostitele a vlastní firewall hostitele musí povolit stejný zdroj na naslouchajícím portu. Pravidlo omezené na podsíť LAN nepokrývá fond klientů VPN, a to je nejčastější příčina časového limitu, který hlásí jen vzdálení uživatelé. Kontrolujte rozsah, ne existenci pravidla.

Zpáteční cesta si zaslouží stejnou kontrolu. Odpovědi potřebují trasu zpět do fondu klientů, ne do LAN, a překlad před hostitelem mění zdroj, který ukáže váš log. Pokud port odpovídá jedním směrem a druhým ne, chybějící polovina je obvykle zpáteční trasa.

Přečtěte zprávu dřív než konfiguraci

Třetí fáze je hostitel, který spojení odmítne podle své vlastní politiky, což často vypadá jako port, který se okamžitě otevře a zavře. Něco odpovědělo, a to je užitečná informace, ne ticho. Pokud se handshake dokončil a relace hned zemřela, síť je v pořádku a rozhoduje hostitel. Podívejte se na oprávnění vzdálené plochy, než znovu sáhnete na síť.

Funkce může být pro počítač zapnutá, zatímco přístup je omezen na určité skupiny, a naslouchač může být svázán způsoby, které vylučují adresu, ze které jste přišli. Ověřování na úrovni sítě přidává bránu, která selže dřív, než se plocha načte, a její text chyby se liší od špatného hesla. Porovnejte zprávu klienta s protokolem událostí hostitele, protože zpráva pojmenovává bránu a protokol účet.

Přihlášení do relace je vlastní hranice

Ověřování patří službě vzdálené plochy, ne VPN. Identita tunelu a účet vzdálené plochy jsou oddělené údaje s oddělenými zásadami zamykání, takže funkční tunel dokazuje jen to, že vás tunel přijal. Zamčení účtu vzdálené plochy tunel nenaruší a naopak to platí také.

Udržte obojí v celku. Když privátní trasa chybí, opravte trasu, protože zveřejnění naslouchače na internetu mění chybu dosažitelnosti za vystavenou plochu. Neoslabujte ani kontroly identity relace, abyste prošli kolem varování o certifikátu, které se objevilo současně. Samopodepsaný certifikát na naslouchači RDP vydává varování záměrně, takže jeho přijetí je rozhodnutí, ne krok.

Spočítejte pokusy, než to zkusíte znovu. Prahy zamykání plochy počítají neúspěšná přihlášení odděleně od selhání VPN a klient, který zkouší znovu podle časovače, může práh překročit, zatímco ještě upravujete pravidlo. Je to stejný mechanismus paralelních pokusů, který zamyká účty po změně hesla.

Co může relace přenášet a kde to zůstává

Naučte se schválený postup odhlášení dřív, než ho budete potřebovat. Zavření okna může jen odpojit zobrazení, zatímco relace běží dál podle nastavené politiky, což je důležité na sdíleném nebo auditovaném hostiteli. Odhlaste se zevnitř relace, když to politika očekává.

Potom rozhodněte, co smí relace přenášet, protože schránka, přesměrované disky, přesměrování tiskáren a přenos souborů přemisťují data mezi místním a vzdáleným systémem tam, kde to politika dovoluje. Publikovaná aplikace běžící na druhé straně není automaticky hranicí bez stahování a relace, která vypadá jen pro čtení, může přesto přenášet schránku. Testujte skutečný úkol, ne spojení: otevřete soubor, použijte aplikaci a potvrďte přesměrování, které potřebujete. Pokyny Microsoftu k přístupu ke vzdálené ploše zvenčí popisují podporované možnosti vystavení a jsou lepším zdrojem než veřejný naslouchač přidaný pod tlakem.