Proč RDP zamrzne, když se vzdálený počítač připojí k VPN

Jste uvnitř okna RDP, pracovní plocha je na obrazovce a v klientu VPN, který běží na onom vzdáleném stroji, stisknete Connect. O pár sekund později okno zamrzne a pak se zavře. Tunel se zvedl, což je přesně to, co zapíše log VPN, a to je nejméně užitečný fakt v celém incidentu. Sezení zemřelo, protože stroj, se kterým jste mluvili, změnil způsob, jakým vám odpovídá, proto si zpáteční cestu projděte dřív, než sáhnete na tunel.

Poznamenejte si koncový bod, který vaše sezení skutečně používá

Adresa zadaná do klienta RDP nemusí být adresa, na kterou vzdálený počítač odpovídá. NAT, RD Gateway nebo vyrovnávání zatížení před hostitelem ji mohou přepsat a zpáteční cesta je dána tím zdrojovým adresem, který vzdálený stroj vidí na navázaném spojení. Když to spletete, budete hledat trasu, která v tom nikdy nebyla.

Na vzdáleném počítači, dokud VPN není připojená, vypište navázaná sezení a přečtěte adresu protistrany z tabulky. Pak si ji zapište někam mimo onen stroj, protože po pádu sezení ji už nepřečtete.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Berte tuto adresu jako věc, která musí zůstat dostupná. Pokud je to privátní adresa v řídicí VLAN, tunel musí tu cestu nechat na pokoji. Pokud je to veřejná adresa, odpověď musí odejít stejným rozhraním, které přineslo požadavek dovnitř.

Přečtěte trasu, která na tento koncový bod odpovídá

Windows vybírá rozhraní pro každý cíl, a Find-NetRoute ukazuje rozhodnutí, které by právě teď udělal. Spusťte ho na adresu protistrany před připojením, pak znovu se zvednutým tunelem, a porovnejte index rozhraní a další skok v obou odpovědích. Změna rozhraní je celá chyba v jednom řádku výstupu.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Profil plného tunelu nainstaluje výchozí trasu přes tunel, jak popisuje příručka Windows pro směrování VPN, takže každá odpověď nyní odchází přes VPN a závisí na tom, zda protistrana směruje zpět k vašemu klientovi. Profil rozděleného tunelu je ve výchozím nastavení bezpečnější, ale není imunní, protože konkrétní trasa pokrývající adresu protistrany může stále přebít fyzickou výchozí trasu. Ať tak či tak, otázka je stejná: když se tunel zvedne, překládá se adresa protistrany stále na rozhraní, které přineslo sezení dovnitř?

Pokud ne, oprava patří do profilu nebo do výslovné výjimky trasy schválené vlastníkem politiky VPN. Ruční úprava směrovací tabulky na produkčním hostiteli během incidentu je způsob, jak se z dočasné práce stane nedokumentovaná konfigurace.

Sledujte změnu profilu brány firewall

Nové rozhraní se při objevení klasifikuje a klasifikace rozhoduje, podle kterého profilu brány firewall se posuzuje jeho provoz. Tunelový adaptér, který spadne do kategorie Public, může tiše zastavit příchozí RDP, i když směrovací tabulka vypadá dokonale. To je druhý režim selhání a dává jiný příznak: trasa je správná, pakety přicházejí a hostitel spojení odmítá.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Porovnejte profil přiřazený tunelovému rozhraní s profily, na které jsou zaměřena pravidla Remote Desktop. Pravidlo povolené jen pro Domain a Private nedělá pro rozhraní klasifikované jako Public nic a žádná oprava trasy to nezmění. Někteří klienti VPN také záměrně omezují přístup k místní podsíti, což vytváří stejný tvar selhání z jiného mechanismu.

Vyzkoušejte přechod z místa, odkud se můžete vzpamatovat

Proveďte celou sekvenci z mimopásmové konzole nebo druhé řídicí cesty v tomto pořadí: potvrďte stávající sezení, připojte VPN, otevřete nové sezení, potom VPN odpojte a otevřete další. Každý krok testuje jiný přechod a první, který selže, vám řekne, který mechanismus je odpovědný.

Naplánujte návrat ještě před začátkem, například naplánovanou úlohu, která spustí rasdial "Work VPN" /disconnect po stanoveném intervalu. To promění ztracené sezení v pětiminutové přerušení místo návštěvy na místě, a je to nejlevnější pojistka v celém postupu.

Dostaňte se zpět, když je sezení už pryč

Pokud je hostitel už nedostupný, přestaňte zkoušet nová RDP spojení ze stejného klienta a použijte záložní kanál, který prostředí už má: RD Gateway, konzoli hypervisoru nebo mimopásmové řídicí rozhraní. Požádejte člověka s přístupem ke konzoli, aby spustil stejné příkazy Find-NetRoute a Get-NetConnectionProfile, aby důkazy přežily obnovu.

Pak rozhodněte trvalé uspořádání, ne to nejrychlejší. Buď je řídicí cesta výslovně zachována profilem VPN, nebo se správa přesune na kanál, který nezávisí na výchozí trase hostitele. Obojí je obhajitelné; trasa hostitele s odhadnutou bránou ne. Zapište, kterou jste zvolili, a zaznamenejte adresu protistrany, která musela přežít.