Penbwrdd o bell drwy VPN: ym mha fethiant ydych chi?

Mae eich twnnel i fyny, mae'r wici mewnol yn llwytho, ac mae'r penbwrdd o bell yn dal i wrthod cysylltu. Mae'r cyfuniad hwnnw'n normal, oherwydd mae'r VPN yn darparu llwybr i'r gwesteiwr tra bo'n rhaid i wasanaeth y penbwrdd fod yn gwrando, yn cael ei ganiatáu gan ei wal dân ei hun, ac yn barod i ddilysu'r cyfrif. Mae pedwar cam methiant rhwng twnnel gweithiol a sesiwn y gellir ei defnyddio, ac mae pob un yn methu â neges wahanol. Darllenwch y neges yn gyntaf, oherwydd mae'n enwi'r cam.

Pedwar methiant sy'n edrych fel un

Mae'r camau wedi'u trefnu: mae'r enw'n datrys i'r cyfeiriad preifat y mae'r dyluniad yn ei fwriadu, mae'r porth yn ateb handshake TCP, mae'r gwesteiwr yn derbyn y cysylltiad o dan ei bolisi ei hun, ac mae mewngofnodi'r sesiwn yn llwyddo. Mae pob cam yn gwneud y nesaf yn anbrofadwy, a dyna pam mae newid gosodiadau RDP cyn i'r rhwydwaith setlo yn cynhyrchu dim ond sŵn. Mae'r symptom yn edrych yn unfath o ochr y defnyddiwr ym mhob un o'r pedwar achos. Dim ond neges y cleient sy'n eu gwahanu.

Nid yw gwefan fewnol weithiol yn profi'r un o'r pedwar. Mae'n profi bod gwesteiwr ar yr un rhwydwaith wedi ateb ar borth gwahanol â gwasanaeth gwahanol. Triniwch hynny fel tystiolaeth am lwybro a dim mwy.

Profwch mewn trefn ac ysgrifennwch y canlyniad i lawr. Neidio i'r sgrin fewngofnodi oherwydd bod y porth wedi ateb yw sut mae prynhawn yn cael ei wastraffu ar broblem wal dân y mae'r cam cyntaf eisoes wedi'i lleoli.

Oes unrhyw beth yn gwrando ar 3389?

Dechreuwch gyda'r enw, oherwydd mae enw sy'n datrys i'r cyfeiriad anghywir yn ddi-rym ar bob prawf diweddarach. Gofynnwch i ddatrysiwr y twnnel beth mae'r enw'n ei olygu, yna cymharwch yr ateb â'r cyfeiriad preifat y mae'r dyluniad yn ei fwriadu, nid ag ymateb llwyddiannus. Enw sy'n datrys i gyfeiriad cyhoeddus yw'r broblem gyfan, ac ni fydd unrhyw newid RDP yn ei thrwsio:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Yna profwch y porth yn hytrach na'r gwesteiwr. Mae handshake TCP cyflawn ar 3389 yn gwahanu cyrhaeddiad oddi wrth bopeth uwch ei ben:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Rhedwch y prawf hwnnw o'r LAN ac o'r twnnel, oherwydd mae gwahaniaeth rhwng y ddau ganlyniad yn lleoli'r diffyg ar lwybr y VPN. Mae dau wal dân yn y llwybr ac maent yn hawdd eu cymysgu: rhaid i'r rhwydwaith ganiatáu i gyfeiriad twnnel y cleient gyrraedd y gwesteiwr, a rhaid i wal dân y gwesteiwr ei hun ganiatáu'r un ffynhonnell ar y porth gwrando. Nid yw rheol sy'n gyfyngedig i is-rwydwaith LAN yn cynnwys pwll cleientiaid VPN, a dyna'r achos mwyaf cyffredin o amser yn dod i ben na fydd ond defnyddwyr o bell yn ei adrodd. Gwiriwch gwmpas y rheol, nid ei bodolaeth.

Mae'r llwybr dychwelyd yn haeddu'r un prawf. Mae angen llwybr yn ôl i bwll y cleientiaid ar yr atebion yn hytrach nag i'r LAN, ac mae cyfieithu o flaen y gwesteiwr yn newid y ffynhonnell y bydd eich log yn ei dangos. Os yw'r porth yn ateb un ffordd ac nid y llall, yr hanner ar goll yw'r llwybr dychwelyd fel arfer.

Darllenwch y neges cyn y ffurfweddiad

Y trydydd cam yw'r gwesteiwr yn gwrthod y cysylltiad yn ôl ei bolisi ei hun, sy'n aml yn edrych fel porth sy'n agor ac yn cau ar unwaith. Atebodd rhywbeth, ac mae hynny'n wybodaeth ddefnyddiol yn hytrach na thawelwch. Os cwblhawyd y handshake a bu farw'r sesiwn ar unwaith, mae'r rhwydwaith yn iawn a'r gwesteiwr sy'n penderfynu. Edrychwch ar ganiatadau'r penbwrdd o bell cyn cyffwrdd â'r rhwydwaith eto.

Gellir galluogi'r nodwedd ar gyfer y peiriant tra bod mynediad wedi'i gyfyngu i grwpiau penodol, a gellir rhwymo'r gwrandawr mewn ffyrdd sy'n eithrio'r cyfeiriad y daethoch i mewn arno. Mae dilysu ar lefel rhwydwaith yn ychwanegu giât sy'n methu cyn i'r penbwrdd lwytho, ac mae ei destun gwall yn wahanol i gyfrinair anghywir. Cymharwch neges y cleient â log digwyddiadau'r gwesteiwr, oherwydd mae'r neges yn enwi'r giât a'r log yn enwi'r cyfrif.

Mae mewngofnodi sesiwn yn ffin iddo'i hun

Mae dilysu'n perthyn i wasanaeth y penbwrdd, nid i'r VPN. Mae hunaniaeth y twnnel a chyfrif y penbwrdd yn dystiolaethau ar wahân â pholisïau cloi ar wahân, felly nid yw twnnel gweithiol yn profi ond bod y twnnel wedi'ch derbyn. Nid yw cloi cyfrif y penbwrdd yn amharu ar y twnnel, ac mae'r gwrthwyneb hefyd yn wir.

Cadwch y ddau yn gyfan. Pan fo'r llwybr preifat ar goll, trwsiwch y llwybr, oherwydd mae cyhoeddi'r gwrandawr i'r rhyngrwyd yn cyfnewid nam cyrhaeddiad am benbwrdd agored. Peidiwch ag ymlacio gwiriadau hunaniaeth y sesiwn ychwaith i fynd heibio rhybudd tystysgrif a ymddangosodd ar yr un pryd. Mae tystysgrif hunan-lofnodol ar wrandawr RDP yn cynhyrchu rhybudd yn ôl y dyluniad, felly mae ei derbyn yn benderfyniad yn hytrach na cham.

Cyfrwch yr ymgeisiau cyn rhoi cynnig eto. Mae trothwyau cloi'r penbwrdd yn cyfrif mewngofnodion wedi methu ar wahân i fethiannau VPN, a gall cleient sy'n rhoi cynnig eto ar amserydd groesi'r trothwy tra byddwch yn dal i olygu rheol. Dyma'r un mecanwaith ailgynnig cyfochrog sy'n cloi cyfrifon ar ôl newid cyfrinair.

Beth all y sesiwn ei symud, a ble mae'n aros

Dysgwch y llif allgofnodi cymeradwy cyn iddo fod ei angen. Efallai mai dim ond datgysylltu'r golwg y mae cau'r ffenestr tra bo'r sesiwn yn parhau i redeg o dan ei pholisi ffurfweddedig, sy'n bwysig ar westeiwr a rennir neu a archwilir. Allgofnodwch o fewn y sesiwn pan fo'r polisi'n disgwyl hynny.

Yna penderfynwch beth y caiff y sesiwn ei gludo, oherwydd mae clipfwrdd, gyriannau ailgyfeiriedig, ailgyfeirio argraffydd a throsglwyddo ffeiliau i gyd yn symud data rhwng y systemau lleol ac anghysbell lle mae'r polisi'n caniatáu. Nid yw ap cyhoeddedig sy'n rhedeg ar yr ochr bell yn ffin dim-llwytho i lawr yn awtomatig, a gall sesiwn sy'n edrych fel un darllen-yn-unig gludo clipfwrdd o hyd. Profwch y dasg wirioneddol yn hytrach na'r cysylltiad: agorwch y ffeil, defnyddiwch yr ap, a chadarnhewch yr ailgyfeirio sydd ei angen arnoch. Mae canllaw Microsoft ar gyrraedd penbwrdd o bell o'r tu allan yn disgrifio'r opsiynau datguddio a gefnogir, ac mae'n gyfeirlyfr gwell na gwrandawr cyhoeddus a ychwanegwyd dan bwysau.