Cisco Secure Client blockiert VPN aus einer RDP-Sitzung

Die Anmeldung gelingt, und der Tunnel kommt trotzdem nicht zustande. Diese Kombination verwirrt viele, weil sie es als Authentifizierungsproblem lesen und dann einen Nachmittag damit verbringen, Anmeldedaten zurückzusetzen, die nie die Ursache waren. Ein Cisco Secure Client kann den Aufbau eines VPN gerade deshalb verweigern, weil der Versuch aus einer Remote-Desktop-Sitzung kam, und diese Entscheidung trifft eine Richtlinie auf der Clientseite.

Wo das im Verbindungsablauf auftaucht

Gehen Sie den Client von oben durch. Das Profil wird geladen, Anmeldedaten werden erfasst, die Authentifizierung schließt ab. Dann, bevor irgendein Tunnel aufgebaut wird, bewertet der Client seine Sitzungs- und Aufbaueinstellungen gegen die Umgebung, in der er sich befindet.

Notieren Sie in diesem Moment drei Dinge: den genauen Meldungstext, die Clientversion und den im Client angezeigten Profilnamen. Diese drei verwandeln eine vage Beschwerde in eine Supportanfrage, mit der jemand arbeiten kann. Machen Sie einen Screenshot des Dialogs, denn lange Meldungen werden im Protokoll abgeschnitten. Notieren Sie auch die Uhrzeit, damit der Administrator sie mit dem Headend abgleichen kann.

Die Einstellung, die es tatsächlich entscheidet

Die Richtlinie Windows VPN Establishment ist die maßgebliche Steuerung, und sie hat zwei dokumentierte Werte: nur lokale Benutzer und Remote-Benutzer zulassen. Der zweite erlaubt den Aufbau eines Tunnels aus einer Remote-Desktop-Sitzung in einer unterstützten Konfiguration. Der erste ist die Standardhaltung in vielen Unternehmensprofilen.

Verwechseln Sie sie nicht mit Windows Logon Enforcement, die der Profilleitfaden als eigene Richtlinie zu Anmeldesitzungen dokumentiert. Die eine regelt, welche Sitzung den Tunnel aufbauen darf, die andere regelt gleichzeitiges Verhalten oder Verhalten vor der Anmeldung. Die falsche zu ändern hat keine sichtbare Wirkung.

Lesen Sie das Profil, das tatsächlich angewendet wird

In einer verwalteten Bereitstellung erhält der Client sein Profil vom Headend oder von einem verwalteten Ort, und eine auf der Festplatte bearbeitete Kopie ist häufig nicht die gültige. Deshalb kann eine lokale XML-Änderung korrekt aussehen und nichts bewirken.

Fragen Sie den Administrator, welches Profil und welche Gruppenrichtlinie das Gerät erhält, statt welche Datei auf dem Laptop liegt. Beide stimmen nach einem Versionsupgrade oft nicht überein. Eine veraltete Kopie im lokalen Ordner öffnet sich weiterhin im Editor und sieht weiterhin korrekt aus. Sie ist nur nicht das, was der Client angewendet hat.

Der RDP-Weg, nachdem der Tunnel steht

Das Zulassen des entfernten Aufbaus garantiert nicht, dass Ihre Remote-Desktop-Sitzung überlebt. Wenn der Tunnel Routen oder lokale Zugriffsregeln ändert, kann die Sitzung, die Sie hereingebracht hat, den Weg verlieren, der sie trägt.

Planen Sie vor der Änderung einen Wiederherstellungskanal: Konsolenzugriff, einen Out-of-Band-Verwaltungsweg oder ein dokumentiertes Wiederverbindungsverfahren. Das hinterher zu entscheiden bedeutet meist eine Fahrt zum Rechner.

Verwenden Sie keine Tricks zum Sitzungsdiebstahl, keine alternativen Fernsteuerungswerkzeuge und kein in ein Skript geschriebenes Passwort, um die Richtlinie zu umgehen. Wenn die Organisation diesen Arbeitsablauf nicht genehmigt, ist der richtige Schritt der Administrationsweg, den sie unterstützt.

Was Sie dem Administrator senden sollten

Geben Sie ihm den Meldungstext, die Clientversion, den Namen des aktiven Profils, den Sitzungstyp, über den Sie verbunden waren, und ob ein Versuch an der lokalen Konsole sich anders verhält. Fügen Sie den Zeitstempel hinzu.

Genau dieser letzte Vergleich spart Zeit, weil er eine Ablehnung durch die Sitzungsrichtlinie von einem geräteweiten Fehler trennt.

Nach einer genehmigten Änderung prüfen

Sobald das Profil aktualisiert ist, bauen Sie eine neue RDP-Sitzung auf und verbinden sich erneut, und führen Sie dann die Trennsequenz bewusst durch. Bestätigen Sie, dass der Tunnel steht, der Verwaltungsweg überlebt und Ihr Konto sich weiterhin am Desktop anmelden kann.

VPN-Zulassung, Sitzungsüberleben und Windows-Anmeldeberechtigung sind drei getrennte Prüfungen. Eine zu bestehen sagt nichts über die anderen beiden aus.