Mae RDP yn stopio ar ôl gosod cleient VPN? Y wal dân sydd ar fai

Funudau ar ôl i gleient VPN defnyddiwr orffen gosod, mae’r porth yn dal i ddweud bod y VM yn rhedeg, nid yw’r IP cyhoeddus wedi newid, ac mae RDP yn amseru allan. Mae pobl fel arfer yn tybio bod y VM wedi chwalu neu bod y grŵp diogelwch rhwydwaith wedi newid, ac mae’r ddau fel arfer yn anghywir. Yr hyn sydd wedi newid yw proffil wal dân Windows y mae’r peiriant ynddo, ac nid yw’r rheol RDP a arferai gyd-fynd yn cyd-fynd mwyach. Mae’r atgyweiriad yn dechrau drwy gael plisgyn ar hyd llwybr nad yw’n dibynnu ar RDP.

Mae’r VM yn rhedeg; mae’r rheol wedi rhoi’r gorau i gyd-fynd

Mae rheolau wal dân Windows yn cario set proffil, ac nid oes gan reol a gyfyngir i Breifat neu Borth unrhyw effaith tra bo’r peiriant ar y proffil Cyhoeddus. Mae gosodwyr VPN yn ychwanegu addaswyr a llwybrau, ac mae nifer ohonynt yn caledu’r Cyhoeddus fel sgil-effaith. Mae’r gwrandäwr yn parhau i fod yn rhwym wrth 3389 ac mae’r pecynnau’n dal i gyrraedd, ond mae’r camgymhariad proffil yn eu taflu i ffwrdd.

Mae cyflwr pŵer ac ymgyrraedd yn ffeithiau ar wahân, ac mae VM sy’n rhedeg â phorth caeedig yn edrych o’r tu allan yn union fel un sydd wedi chwalu.

Profwch y porth cyn newid unrhyw beth. Mae cais cysylltu i 3389 sy’n amseru allan tra bo gorchymyn asiant y gwestai yn dal i ddychwelyd allbwn yn pwyntio at wal dân y gwesteiwr. Mae porth sy’n ateb tra bo RDP yn dal i fethu yn golygu bod y nam uwchben haen y rhwydwaith, ac na fydd y drws hwn yn cyffwrdd ag ef. Nodwch pa un o’r ddau a welsoch, oherwydd mae gweddill y cynllun yn dibynnu ar hynny.

Mae dwy glwyd yn cau’n annibynnol

Mae polisi’r ffabrig yn rhedeg yn gyntaf: mae’r grŵp diogelwch rhwydwaith yn gweld y pecyn cyn y gwestai. Mae’r drefn honno’n gwneud cofnod NSG perffaith yn ddiwerth pan fydd y gwesteiwr yn gollwng y pecyn, a rheol gwesteiwr agored yn ddiwerth pan fydd y ffabrig yn ei gwrthod. Triniwch hwy fel clwydi ar wahân a phrofwch bob un ar ei phen ei hun.

Darllenwch reolau effeithiol yr NSG yn y porth neu’r CLI, yna cymharwch hwy â rheolau’r gwestai ei hun. Peidiwch â chymryd yn ganiataol mai’r newid diwethaf rydych chi’n ei gofio yw’r un a ddaeth i rym.

Gall cleient defnyddiwr hefyd osod gyrrwr hidlo neu switsh lladd sy’n rhwystro traffig o dan wal dân Windows. Os yw rheolau’r wal dân yn edrych yn gywir ac mae’r porth yn dal i fethu, y haen honno yw’r amheuyn nesaf.

Defnyddiwch asiant y gwestai fel eich ffordd yn ôl

Mae dwy nodwedd gweithredu o bell, Run Command a’r Custom Script Extension, yn rhedeg y tu mewn i’r gwestai drwy asiant y ffabrig. Nid oes angen RDP ar y naill na’r llall, felly nid yw camgymeriad y wal dân yn effeithio arnynt. Mae’r ddwy’n dychwelyd allbwn y sgript, sy’n eu gwneud yn sianel ddiagnostig yn ogystal â sianel atgyweirio.

Darllenwch y proffil gweithredol a’r rheol RDP cyn newid y naill neu’r llall:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Mae ail-alluogi rheolau mewnddyfodol ar y proffil hwnnw’n fesur dros dro, nid yn gyrchfan. Defnyddiwch ef i gael sesiwn, yna caewch y bwlch yn iawn:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Mae’r switsh hwnnw’n agor pob rheol fewnddyfodol ar y proffil, nid RDP yn unig. Unwaith y bydd gennych sesiwn, disodlwch ef â rheol gyfyngedig ac adferwch y gosodiadau rydych chi eu heisiau mewn gwirionedd. Os yw’r asiant ar goll hefyd, consol cyfresol neu ddisg wedi’i hailadeiladu yw’r cwymp-yn-ôl, a dyna’r rheswm ymarferol dros gadw’r asiant yn iach.

Culhewch y twll cyn i chi gau’r sesiwn

Mae’r newid proffil dros dro yn ddrws a gedwir yn agored i bob rheol fewnddyfodol ar y proffil hwnnw. Disodlwch ef â rheol gyfyngedig i’ch cyfeiriad ffynhonnell a’r porth RDP, yna cadarnhewch fod y proffil yn ôl yn ei gyflwr bwriadedig. Gwnewch hyn tra bo’r sesiwn gennych o hyd, oherwydd efallai na fydd y camgymeriad nesaf yn wrthdroadwy o bell. Cadwch ail lwybr gweinyddol fel Bastion neu gonsol gyfresol wrth law yn ystod y newid.

Cadarnhewch y canlyniad o’ch gorsaf waith gyda phrawf porth, ac o du mewn i’r gwestai gyda’r rhestr reolau:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Trowch logio’r wal dân ymlaen am gyfnod y prawf. Mae un llinell am becyn a ollyngwyd sy’n enwi 3389 a’r proffil gweithredol yn ateb y cwestiwn yn gynt nag ail gychwyn arall.

Atalwch y gosodwr nesaf rhag ei wneud eto

Os nad oes rheswm gan y gwesteiwr hwnnw i redeg y cleient, dadosodwch ef. Mae cleient wedi’i osod yn wahoddiad parhaol i’r diweddariad nesaf ailysgrifennu’r proffil eto, a bydd y person nesaf yn dadfygio’r un methiant o’r porth.

Cymerwch gipolwg ar y disg cyn i chi adael i unrhyw beth ailysgrifennu gosodiadau rhwydwaith, a chadwch ail lwybr gweinyddol yn barod cyn i chi ei angen.

Cofnodwch beth a newidiodd y gosodwr: addaswyr, llwybrau, proffiliau wal dân, gyrwyr hidlo a gwasanaethau. Mae’r cofnod hwnnw’n troi’r digwyddiad nesaf yn batrwm hysbys yn lle ymchwiliad newydd. Pan fydd angen twnnel ar y VM i un gwasanaeth yn union, rhowch y cleient ar eich gorsaf waith neu adeiladwch gyswllt safle-i-safle yn lle gosod cynnyrch gliniadur ar y gweinydd. Mae cleientiaid defnyddiwr yn targedu gliniaduron, ac nid yw gweinydd rydych chi’n ei weinyddu o bell yn un o’r rheini.