Απομακρυσμένη επιφάνεια εργασίας μέσω VPN: σε ποια αποτυχία βρίσκεστε;

Η σήραγγά σας είναι ενεργή, το εσωτερικό wiki φορτώνει και η απομακρυσμένη επιφάνεια εργασίας εξακολουθεί να αρνείται τη σύνδεση. Ο συνδυασμός είναι φυσιολογικός, γιατί το VPN παρέχει διαδρομή προς τον κεντρικό υπολογιστή, ενώ η υπηρεσία επιφάνειας εργασίας πρέπει να ακούει, να επιτρέπεται από το δικό της τείχος προστασίας και να είναι πρόθυμη να ταυτοποιήσει τον λογαριασμό. Τέσσερα στάδια αποτυχίας βρίσκονται ανάμεσα σε μια λειτουργική σήραγγα και σε μια χρησιμοποιήσιμη συνεδρία, και το καθένα αποτυγχάνει με διαφορετικό μήνυμα. Διαβάστε πρώτα το μήνυμα, γιατί ονομάζει το στάδιο.

Τέσσερις αποτυχίες που μοιάζουν με μία

Τα στάδια είναι διατεταγμένα: το όνομα επιλύεται στη ιδιωτική διεύθυνση που προβλέπει ο σχεδιασμός, η θύρα απαντά σε χειραψία TCP, ο κεντρικός δέχεται τη σύνδεση σύμφωνα με τη δική του πολιτική και η σύνδεση στη συνεδρία πετυχαίνει. Κάθε στάδιο καθιστά το επόμενο μη δοκιμάσιμο, γι' αυτό οι αλλαγές ρυθμίσεων RDP πριν σταθεροποιηθεί το δίκτυο παράγουν μόνο θόρυβο. Το σύμπτωμα φαίνεται ίδιο από την πλευρά του χρήστη και στις τέσσερις περιπτώσεις. Μόνο το μήνυμα του πελάτη τα ξεχωρίζει.

Μια λειτουργική εσωτερική ιστοσελίδα δεν αποδεικνύει κανένα από τα τέσσερα. Αποδεικνύει ότι ένας κεντρικός στο ίδιο δίκτυο απάντησε σε άλλη θύρα με άλλη υπηρεσία. Θεωρήστε το ως απόδειξη για τη δρομολόγηση και τίποτε άλλο.

Δοκιμάστε με σειρά και γράψτε το αποτέλεσμα. Το άλμα στην οθόνη σύνδεσης επειδή απάντησε η θύρα είναι ο τρόπος να περάσετε ένα απόγευμα με ένα πρόβλημα τείχους προστασίας που το πρώτο βήμα έχει ήδη εντοπίσει.

Ακούει τίποτα στη θύρα 3389;

Ξεκινήστε από το όνομα, γιατί ένα όνομα που επιλύεται σε λάθος διεύθυνση ακυρώνει κάθε επόμενη δοκιμή. Ρωτήστε τον επιλυτή της σήραγγας τι σημαίνει το όνομα και μετά συγκρίνετε την απάντηση με την ιδιωτική διεύθυνση που προβλέπει ο σχεδιασμός, όχι με μια επιτυχή απόκριση. Ένα όνομα που επιλύεται σε δημόσια διεύθυνση είναι όλο το πρόβλημα και καμία αλλαγή RDP δεν θα το διορθώσει:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Στη συνέχεια δοκιμάστε τη θύρα και όχι τον κεντρικό. Μια ολοκληρωμένη χειραψία TCP στη θύρα 3389 χωρίζει την προσβασιμότητα από όλα όσα βρίσκονται πάνω της:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Εκτελέστε αυτή τη δοκιμή από το LAN και από τη σήραγγα, γιατί μια διαφορά μεταξύ των δύο αποτελεσμάτων εντοπίζει τη βλάβη στη διαδρομή του VPN. Δύο τείχη προστασίας βρίσκονται στη διαδρομή και είναι εύκολο να συγχυστούν: το δίκτυο πρέπει να επιτρέπει στη διεύθυνση σήραγγας του πελάτη να φτάσει τον κεντρικό, και το τείχος του ίδιου του κεντρικού πρέπει να επιτρέπει την ίδια πηγή στη θύρα ακρόασης. Ένας κανόνας περιορισμένος στο υποδίκτυο LAN δεν καλύπτει τη δεξαμενή πελατών VPN, και αυτή είναι η συνηθέστερη αιτία λήξης χρόνου που αναφέρουν μόνο απομακρυσμένοι χρήστες. Ελέγξτε το εύρος και όχι την ύπαρξη του κανόνα.

Η διαδρομή επιστροφής αξίζει τον ίδιο έλεγχο. Οι απαντήσεις χρειάζονται διαδρομή πίσω στη δεξαμενή πελατών και όχι στο LAN, και μια μετάφραση μπροστά από τον κεντρικό αλλάζει την πηγή που θα δείξει το αρχείο καταγραφής σας. Αν η θύρα απαντά προς τη μία κατεύθυνση και όχι προς την άλλη, το μισό που λείπει είναι συνήθως η διαδρομή επιστροφής.

Διαβάστε το μήνυμα πριν διαβάσετε τη διαμόρφωση

Το τρίτο στάδιο είναι ο κεντρικός να αρνείται τη σύνδεση σύμφωνα με τη δική του πολιτική, κάτι που συχνά μοιάζει με θύρα που ανοίγει και κλείνει αμέσως. Κάτι απάντησε, και αυτό είναι χρήσιμη πληροφορία και όχι σιωπή. Αν η χειραψία ολοκληρώθηκε και η συνεδρία πέθανε αμέσως, το δίκτυο είναι εντάξει και αποφασίζει ο κεντρικός. Κοιτάξτε τα δικαιώματα απομακρυσμένης επιφάνειας εργασίας πριν αγγίξετε ξανά το δίκτυο.

Η λειτουργία μπορεί να είναι ενεργοποιημένη για το μηχάνημα ενώ η πρόσβαση περιορίζεται σε συγκεκριμένες ομάδες, και ο ακροατής μπορεί να είναι δεσμευμένος με τρόπους που αποκλείουν τη διεύθυνση από την οποία ήρθατε. Η ταυτοποίηση σε επίπεδο δικτύου προσθέτει μια πύλη που αποτυγχάνει πριν φορτωθεί η επιφάνεια εργασίας, και το κείμενο σφάλματος διαφέρει από ένα λάθος συνθηματικό. Συγκρίνετε το μήνυμα του πελάτη με το αρχείο συμβάντων του κεντρικού, γιατί το μήνυμα ονομάζει την πύλη και το αρχείο τον λογαριασμό.

Η σύνδεση στη συνεδρία είναι δικό της όριο

Η ταυτοποίηση ανήκει στην υπηρεσία επιφάνειας εργασίας, όχι στο VPN. Η ταυτότητα της σήραγγας και ο λογαριασμός της επιφάνειας εργασίας είναι ξεχωριστά διαπιστευτήρια με ξεχωριστές πολιτικές κλειδώματος, επομένως μια λειτουργική σήραγγα αποδεικνύει μόνο ότι η σήραγγα σάς δέχτηκε. Το κλείδωμα του λογαριασμού επιφάνειας εργασίας δεν ενοχλεί τη σήραγγα, και το αντίστροφο ισχύει επίσης.

Κρατήστε και τα δύο ακέραια. Όταν λείπει η ιδιωτική διαδρομή, διορθώστε τη διαδρομή, γιατί η δημοσίευση του ακροατή στο διαδίκτυο ανταλλάσσει ένα σφάλμα προσβασιμότητας με μια εκτεθειμένη επιφάνεια εργασίας. Μην αποδυναμώσετε ούτε τους ελέγχους ταυτότητας της συνεδρίας για να περάσετε μια προειδοποίηση πιστοποιητικού που εμφανίστηκε ταυτόχρονα. Ένα αυτοϋπογεγραμμένο πιστοποιητικό σε ακροατή RDP παράγει προειδοποίηση εκ σχεδιασμού, οπότε η αποδοχή του είναι απόφαση και όχι βήμα.

Μετρήστε τις προσπάθειες πριν ξαναδοκιμάσετε. Τα όρια κλειδώματος της επιφάνειας εργασίας μετρούν τις αποτυχημένες συνδέσεις ξεχωριστά από τις αποτυχίες VPN, και ένας πελάτης που επαναλαμβάνει με χρονόμετρο μπορεί να ξεπεράσει το όριο ενώ ακόμη επεξεργάζεστε έναν κανόνα. Είναι ο ίδιος μηχανισμός παράλληλων επαναλήψεων που κλειδώνει λογαριασμούς μετά από αλλαγή συνθηματικού.

Τι μπορεί να μεταφέρει η συνεδρία και πού μένει

Μάθετε την εγκεκριμένη ροή αποσύνδεσης πριν τη χρειαστείτε. Το κλείσιμο του παραθύρου μπορεί να αποσυνδέσει μόνο την προβολή ενώ η συνεδρία συνεχίζει να εκτελείται σύμφωνα με την πολιτική της, κάτι που μετρά σε κοινόχρηστο ή ελεγχόμενο κεντρικό. Αποσυνδεθείτε από μέσα στη συνεδρία όταν η πολιτική το περιμένει.

Έπειτα αποφασίστε τι επιτρέπεται να μεταφέρει η συνεδρία, γιατί το πρόχειρο, οι ανακατευθυνόμενοι δίσκοι, η ανακατεύθυνση εκτυπωτή και η μεταφορά αρχείων κινούν δεδομένα ανάμεσα στο τοπικό και το απομακρυσμένο σύστημα όπου το επιτρέπει η πολιτική. Μια δημοσιευμένη εφαρμογή που εκτελείται στην άλλη πλευρά δεν είναι αυτόματα όριο χωρίς λήψη, και μια συνεδρία που φαίνεται μόνο για ανάγνωση μπορεί παρ' όλα αυτά να μεταφέρει πρόχειρο. Δοκιμάστε την πραγματική εργασία και όχι τη σύνδεση: ανοίξτε το αρχείο, χρησιμοποιήστε την εφαρμογή και επιβεβαιώστε την ανακατεύθυνση που χρειάζεστε. Οι οδηγίες της Microsoft για πρόσβαση σε απομακρυσμένη επιφάνεια εργασίας από έξω περιγράφουν τις υποστηριζόμενες επιλογές έκθεσης και είναι καλύτερη αναφορά από έναν δημόσιο ακροατή που προστέθηκε υπό πίεση.