RDP stopper efter installation af en VPN-klient? Det er firewallen

Minutter efter at en forbruger-VPN-klient er færdig med at installere, siger portalen stadig, at VM’en kører, den offentlige IP er ikke ændret, og RDP svarer ikke. Folk antager normalt, at VM’en er crashet, eller at netværkssikkerhedsgruppen er ændret, og begge dele er som regel forkert. Det, der er ændret, er den Windows-firewallprofil, maskinen står i, og den RDP-regel, der før passede, passer ikke længere. Reparationen starter med at skaffe et shell ad en vej, der ikke afhænger af RDP.

VM’en kører; reglen holder ikke længere

Firewallregler i Windows bærer et sæt profiler, og en regel, der er begrænset til Privat eller Domæne, har ingen virkning, mens maskinen står på den Offentlige profil. VPN-installatører tilføjer adaptere og ruter, og flere af dem strammer Offentlig som en bivirkning. Lytteren bliver bundet til 3389, og pakkerne ankommer stadig, men profiluoverensstemmelsen kasserer dem.

Strømtilstand og tilgængelighed er separate fakta, og en kørende VM med en lukket port ser udefra præcis ud som en, der er crashet.

Undersøg porten, før du ændrer noget. Et forbindelsesforsøg til 3389, der timer ud, mens en kommando til gæsteagenten stadig returnerer output, peger på værtens firewall. En port, der svarer, mens RDP stadig fejler, betyder, at fejlen sidder over netværkslaget, og denne reparation rører ikke ved den. Noter, hvilken af de to du så, for resten af planen afhænger af det.

To porte lukker uafhængigt af hinanden

Fabric-politikken kører først: netværkssikkerhedsgruppen ser pakken, før gæsten gør. Den rækkefølge gør en perfekt NSG-post ubrugelig, når værten kasserer pakken, og en åben værtsregel ubrugelig, når fabric afviser den. Behandl dem som separate porte, og test hver især.

Læs NSG’ens effektive regler i portalen eller CLI, og sammenlign dem derefter med gæstens egne regler. Antag ikke, at den seneste ændring, du husker, er den, der trådte i kraft.

En forbrugerklient kan også installere en filterdriver eller en kill switch, der blokerer trafik under Windows-firewallen. Hvis firewallreglerne ser rigtige ud, og porten stadig fejler, er det lag det næste mistænkte.

Brug gæsteagenten som vej tilbage

To fjernkørselsfunktioner, Run Command og Custom Script Extension, kører inde i gæsten via fabric-agenten. Ingen af dem har brug for RDP, så firewallfejlen påvirker dem ikke. Begge returnerer scriptets output, hvilket gør dem til en diagnostisk kanal såvel som en reparationskanal.

Læs den aktive profil og RDP-reglen, før du ændrer nogen af dem:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

At genaktivere indgående regler på den profil er en midlertidig foranstaltning, ikke et mål. Brug den til at få en session, og luk derefter hullet ordentligt:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Den kontakt åbner hver indgående regel på profilen, ikke kun RDP. Når du har en session, skal du erstatte den med en afgrænset regel og gendanne de indstillinger, du faktisk vil have. Hvis agenten også er utilgængelig, er en seriel konsol eller en genopbygget disk fallback, og det er den praktiske grund til at holde agenten sund.

Indsnævr hullet, før du lukker sessionen

Den midlertidige profilændring er en dør, der holdes åben for hver indgående regel på den profil. Erstat den med en regel, der er begrænset til din kildeadresse og RDP-porten, og bekræft derefter, at profilen er tilbage i den tilsigtede tilstand. Gør det, mens du stadig har sessionen, for den næste fejl er måske ikke reversibel eksternt. Hold en anden administrativ vej som Bastion eller en seriel konsol klar under ændringen.

Bekræft resultatet fra din arbejdsstation med en porttest, og inde fra gæsten med regellisten:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Slå firewall-logging til i testens varighed. En enkelt linje om en kasseret pakke, der nævner 3389 og den aktive profil, besvarer spørgsmålet hurtigere end endnu en genstart.

Forhindr den næste installation i at gøre det igen

Hvis den vært ikke har nogen grund til at køre klienten, skal du afinstallere den. En installeret klient er en stående invitation til, at den næste opdatering omskriver profilen igen, og den næste person vil fejlfinde samme afbrydelse fra portalen.

Tag et snapshot af disken, før du lader noget omskrive netværksindstillinger, og hold en anden administrativ vej klar, før du får brug for den.

Noter, hvad installationen ændrede: adaptere, ruter, firewallprofiler, filterdrivere og tjenester. Den registrering gør den næste hændelse til et kendt mønster i stedet for en ny undersøgelse. Når VM’en har brug for en tunnel til præcis én tjeneste, skal du sætte klienten på din arbejdsstation eller bygge et site-til-site-link i stedet for at installere et laptop-produkt på serveren. Forbrugerklienter er rettet mod laptops, og en server, du administrerer eksternt, er ikke det.