Το Cisco Secure Client μπλοκάρει το VPN από συνεδρία RDP

Η σύνδεση πετυχαίνει και η σήραγγα δεν ανεβαίνει. Αυτός ο συνδυασμός μπερδεύει τον κόσμο, γιατί τον διαβάζει ως πρόβλημα ελέγχου ταυτότητας και μετά περνάει το απόγευμα επαναφέροντας διαπιστευτήρια που δεν ήταν ποτέ το πρόβλημα. Ένα Cisco Secure Client μπορεί να αρνηθεί να στήσει VPN ακριβώς επειδή η απόπειρα ήρθε από συνεδρία Remote Desktop, και αυτή την απόφαση την παίρνει πολιτική στην πλευρά του πελάτη.

Πού εμφανίζεται αυτό στη ροή σύνδεσης

Περάστε τον πελάτη από την αρχή. Το προφίλ φορτώνει, τα διαπιστευτήρια συλλέγονται και ο έλεγχος ταυτότητας ολοκληρώνεται. Έπειτα, πριν χτιστεί οποιαδήποτε σήραγγα, ο πελάτης αξιολογεί τις ρυθμίσεις συνεδρίας και δημιουργίας ως προς το περιβάλλον στο οποίο βρίσκεται.

Σημειώστε τρία πράγματα εκείνη τη στιγμή: το ακριβές μήνυμα, την έκδοση του πελάτη και το όνομα προφίλ που εμφανίζεται στον πελάτη. Αυτά τα τρία μετατρέπουν ένα αόριστο παράπονο σε αίτημα υποστήριξης πάνω στο οποίο μπορεί κάποιος να ενεργήσει. Τραβήξτε στιγμιότυπο του παραθύρου, γιατί τα μεγάλα μηνύματα κόβονται στο αρχείο καταγραφής. Σημειώστε και την ώρα, ώστε ο διαχειριστής να τη συγκρίνει με την κεφαλή.

Η ρύθμιση που πραγματικά το κρίνει

Η πολιτική Windows VPN Establishment είναι ο σχετικός έλεγχος και έχει δύο τεκμηριωμένες τιμές: μόνο τοπικοί χρήστες και να επιτρέπονται απομακρυσμένοι χρήστες. Η δεύτερη επιτρέπει τη δημιουργία σήραγγας από συνεδρία Remote Desktop σε υποστηριζόμενη διαμόρφωση. Η πρώτη είναι η προεπιλεγμένη στάση σε πολλά εταιρικά προφίλ.

Μην τη μπερδεύετε με το Windows Logon Enforcement, που ο οδηγός προφίλ το τεκμηριώνει ως ξεχωριστή πολιτική για συνεδρίες σύνδεσης. Η μία ρυθμίζει ποια συνεδρία επιτρέπεται να χτίσει τη σήραγγα, η άλλη ρυθμίζει ταυτόχρονη συμπεριφορά ή συμπεριφορά πριν τη σύνδεση. Η αλλαγή της λάθος δεν έχει ορατό αποτέλεσμα.

Διαβάστε το προφίλ που εφαρμόζεται πραγματικά

Σε διαχειριζόμενη ανάπτυξη ο πελάτης λαμβάνει το προφίλ του από την κεφαλή ή από διαχειριζόμενη θέση, και ένα αντίγραφο που επεξεργάστηκε στον δίσκο συχνά δεν είναι αυτό που ισχύει. Γι' αυτό μια τοπική αλλαγή XML μπορεί να φαίνεται σωστή και να μην αλλάζει τίποτα.

Ρωτήστε τον διαχειριστή ποιο προφίλ και ποια πολιτική ομάδας λαμβάνει η συσκευή, όχι ποιο αρχείο υπάρχει στο φορητό. Τα δύο συχνά διαφωνούν μετά από αναβάθμιση έκδοσης. Ένα παλιό αντίγραφο στον τοπικό φάκελο ανοίγει ακόμη στον επεξεργαστή και φαίνεται ακόμη σωστό. Απλώς δεν είναι αυτό που εφάρμοσε ο πελάτης.

Η διαδρομή RDP αφού ανέβει η σήραγγα

Το να επιτρέπεται η απομακρυσμένη δημιουργία δεν εγγυάται ότι η συνεδρία Remote Desktop θα επιβιώσει. Όταν η σήραγγα αλλάζει διαδρομές ή τοπικούς κανόνες πρόσβασης, η συνεδρία που σας έφερε μέσα μπορεί να χάσει τη διαδρομή που τη συντηρεί.

Σχεδιάστε ένα κανάλι ανάκτησης πριν την αλλαγή: πρόσβαση κονσόλας, διαδρομή διαχείρισης εκτός ζώνης ή τεκμηριωμένη διαδικασία επανασύνδεσης. Το να το αποφασίσετε εκ των υστέρων συνήθως σημαίνει ταξίδι στο μηχάνημα.

Μη χρησιμοποιείτε κόλπα κλοπής συνεδρίας, εναλλακτικά εργαλεία απομακρυσμένου ελέγχου ή κωδικό γραμμένο σε σκριπτ για να παρακάμψετε την πολιτική. Αν ο οργανισμός δεν εγκρίνει αυτή τη ροή εργασίας, το σωστό βήμα είναι η διαδρομή διαχείρισης που υποστηρίζει.

Τι να στείλετε στον διαχειριστή

Δώστε τους το κείμενο του μηνύματος, την έκδοση του πελάτη, το όνομα του ενεργού προφίλ, τον τύπο συνεδρίας μέσω της οποίας συνδεθήκατε και αν μια απόπειρα από τοπική κονσόλα συμπεριφέρεται διαφορετικά. Προσθέστε τη χρονική σήμανση.

Ακριβώς αυτή η τελευταία σύγκριση εξοικονομεί χρόνο, γιατί χωρίζει μια άρνηση πολιτικής συνεδρίας από μια βλάβη σε όλη τη συσκευή.

Επαληθεύστε μετά από εγκεκριμένη αλλαγή

Μόλις ενημερωθεί το προφίλ, στήστε νέα συνεδρία RDP και συνδεθείτε ξανά, και μετά εκτελέστε σκόπιμα τη σειρά αποσύνδεσης. Επιβεβαιώστε ότι η σήραγγα ανεβαίνει, η διαδρομή διαχείρισης επιβιώνει και ο λογαριασμός σας μπορεί ακόμη να συνδεθεί στην επιφάνεια εργασίας.

Η αποδοχή στο VPN, η επιβίωση της συνεδρίας και η άδεια σύνδεσης στα Windows είναι τρεις ξεχωριστοί έλεγχοι. Το να περάσει ο ένας δεν λέει τίποτα για τους άλλους δύο.