Το RDP σταματά μετά την εγκατάσταση VPN client; Φταίει το τείχος προστασίας

Λίγα λεπτά αφού ολοκληρωθεί η εγκατάσταση ενός VPN client καταναλωτή, η πύλη εξακολουθεί να λέει ότι η VM εκτελείται, η δημόσια IP δεν έχει αλλάξει και το RDP δεν αποκρίνεται. Οι άνθρωποι συνήθως υποθέτουν ότι η VM κατέρρευσε ή ότι άλλαξε η ομάδα ασφαλείας δικτύου, και τα δύο συνήθως είναι λάθος. Αυτό που άλλαξε είναι το προφίλ του τείχους προστασίας των Windows στο οποίο βρίσκεται το μηχάνημα, και ο κανόνας RDP που ταίριαζε παλιά δεν ταιριάζει πλέον. Η επισκευή ξεκινά με την απόκτηση ενός κελύφους μέσω διαδρομής που δεν εξαρτάται από το RDP.

Η VM εκτελείται και ο κανόνας έπαψε να ταιριάζει

Οι κανόνες του τείχους προστασίας στα Windows φέρουν ένα σύνολο προφίλ, και ένας κανόνας περιορισμένος στο Ιδιωτικό ή στο Τομέα δεν έχει καμία επίδραση όσο το μηχάνημα βρίσκεται στο Δημόσιο προφίλ. Οι εγκαταστάτες VPN προσθέτουν προσαρμογείς και διαδρομές, και αρκετοί από αυτούς σκληραίνουν το Δημόσιο ως παρενέργεια. Ο ακροατής παραμένει δεσμευμένος στη 3389 και τα πακέτα φτάνουν ακόμη, αλλά η αναντιστοιχία προφίλ τα απορρίπτει.

Η κατάσταση τροφοδοσίας και η προσβασιμότητα είναι ξεχωριστά γεγονότα, και μια VM που εκτελείται με κλειστή θύρα φαίνεται από έξω ακριβώς σαν μια που κατέρρευσε.

Δοκιμάστε τη θύρα πριν αλλάξετε οτιδήποτε. Μια απόπειρα σύνδεσης στη 3389 που λήγει σε χρονικό όριο ενώ μια εντολή του πράκτορα φιλοξενούμενου εξακολουθεί να επιστρέφει έξοδο δείχνει το τείχος προστασίας του κεντρικού υπολογιστή. Μια θύρα που απαντά ενώ το RDP εξακολουθεί να αποτυγχάνει σημαίνει ότι η βλάβη βρίσκεται πάνω από το επίπεδο δικτύου, και αυτή η επισκευή δεν θα την αγγίξει. Σημειώστε ποια από τις δύο περιπτώσεις είδατε, γιατί το υπόλοιπο σχέδιο εξαρτάται από αυτό.

Δύο πύλες κλείνουν ανεξάρτητα

Η πολιτική του fabric εκτελείται πρώτη: η ομάδα ασφαλείας δικτύου βλέπει το πακέτο πριν από τον φιλοξενούμενο. Αυτή η σειρά κάνει μια τέλεια καταχώριση NSG άχρηστη όταν ο κεντρικός υπολογιστής απορρίπτει το πακέτο, και έναν ανοιχτό κανόνα κεντρικού υπολογιστή άχρηστο όταν το fabric τον αρνείται. Αντιμετωπίστε τα ως ξεχωριστές πύλες και δοκιμάστε καθεμία μόνη της.

Διαβάστε τους ενεργούς κανόνες του NSG στην πύλη ή στο CLI και μετά συγκρίνετέ τους με τους κανόνες του ίδιου του φιλοξενούμενου. Μην υποθέσετε ότι η τελευταία αλλαγή που θυμάστε είναι αυτή που τέθηκε σε ισχύ.

Ένας client καταναλωτή μπορεί επίσης να εγκαταστήσει ένα πρόγραμμα οδήγησης φίλτρου ή έναν διακόπτη θανάτωσης που μπλοκάρει την κίνηση κάτω από το τείχος προστασίας των Windows. Αν οι κανόνες του τείχους φαίνονται σωστοί και η θύρα εξακολουθεί να αποτυγχάνει, αυτό το επίπεδο είναι ο επόμενος ύποπτος.

Χρησιμοποιήστε τον πράκτορα φιλοξενούμενου ως δρόμο επιστροφής

Δύο λειτουργίες απομακρυσμένης εκτέλεσης, το Run Command και το Custom Script Extension, εκτελούνται μέσα στον φιλοξενούμενο μέσω του πράκτορα του fabric. Καμία δεν χρειάζεται RDP, οπότε το λάθος του τείχους προστασίας δεν τις επηρεάζει. Και οι δύο επιστρέφουν την έξοδο του σεναρίου, πράγμα που τις κάνει κανάλι διάγνωσης και ταυτόχρονα κανάλι επισκευής.

Διαβάστε το ενεργό προφίλ και τον κανόνα RDP πριν αλλάξετε οποιοδήποτε από τα δύο:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Η εκ νέου ενεργοποίηση των κανόνων εισερχόμενης κίνησης σε αυτό το προφίλ είναι προσωρινό μέτρο, όχι προορισμός. Χρησιμοποιήστε την για να αποκτήσετε συνεδρία και μετά κλείστε το κενό σωστά:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Αυτός ο διακόπτης ανοίγει κάθε κανόνα εισερχόμενης κίνησης του προφίλ, όχι μόνο το RDP. Μόλις έχετε συνεδρία, αντικαταστήστε τον με περιορισμένο κανόνα και επαναφέρετε τις ρυθμίσεις που θέλετε πραγματικά. Αν και ο πράκτορας δεν είναι διαθέσιμος, εφεδρική λύση είναι μια σειριακή κονσόλα ή ένας δίσκος που ξαναχτίστηκε, και αυτός είναι ο πρακτικός λόγος να κρατάτε τον πράκτορα υγιή.

Στενέψτε την τρύπα πριν κλείσετε τη συνεδρία

Η προσωρινή αλλαγή προφίλ είναι μια πόρτα ανοιχτή για κάθε κανόνα εισερχόμενης κίνησης αυτού του προφίλ. Αντικαταστήστε την με κανόνα περιορισμένο στη διεύθυνση προέλευσης και στη θύρα RDP, και μετά επιβεβαιώστε ότι το προφίλ επέστρεψε στην επιθυμητή κατάσταση. Κάντε το όσο έχετε ακόμη τη συνεδρία, γιατί το επόμενο λάθος μπορεί να μην είναι αναστρέψιμο από απόσταση. Κρατήστε μια δεύτερη διαδρομή διαχείρισης, όπως το Bastion ή μια σειριακή κονσόλα, κατά την αλλαγή.

Επιβεβαιώστε το αποτέλεσμα από τον σταθμό εργασίας σας με δοκιμή θύρας, και από μέσα στον φιλοξενούμενο με τη λίστα κανόνων:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Ενεργοποιήστε την καταγραφή του τείχους προστασίας για όλη τη διάρκεια της δοκιμής. Μία μόνο γραμμή για πακέτο που απορρίφθηκε και αναφέρει τη 3389 και το ενεργό προφίλ απαντά στην ερώτηση γρηγορότερα από άλλη μια επανεκκίνηση.

Εμποδίστε τον επόμενο εγκαταστάτη να το ξανακάνει

Αν αυτός ο κεντρικός υπολογιστής δεν έχει λόγο να τρέχει τον client, απεγκαταστήστε τον. Ένας εγκατεστημένος client είναι μόνιμη πρόσκληση για την επόμενη ενημέρωση να ξαναγράψει το προφίλ, και το επόμενο άτομο θα εντοπίσει την ίδια διακοπή από την πύλη.

Πάρτε ένα στιγμιότυπο του δίσκου πριν αφήσετε οτιδήποτε να ξαναγράψει ρυθμίσεις δικτύου, και κρατήστε μια δεύτερη διαδρομή διαχείρισης έτοιμη πριν τη χρειαστείτε.

Καταγράψτε τι άλλαξε ο εγκαταστάτης: προσαρμογείς, διαδρομές, προφίλ τείχους προστασίας, προγράμματα οδήγησης φίλτρου και υπηρεσίες. Αυτή η καταγραφή μετατρέπει το επόμενο περιστατικό σε γνωστό μοτίβο αντί για νέα έρευνα. Όταν η VM χρειάζεται τούνελ προς ακριβώς μία υπηρεσία, βάλτε τον client στον σταθμό εργασίας σας ή στήστε σύνδεση τοποθεσίας με τοποθεσία αντί να εγκαταστήσετε στον διακομιστή ένα προϊόν για φορητούς. Οι clients καταναλωτή απευθύνονται σε φορητούς, και ένας διακομιστής που διαχειρίζεστε από απόσταση δεν είναι τέτοιος.