Γιατί το RDP παγώνει όταν ο απομακρυσμένος υπολογιστής συνδέεται σε VPN

Είστε μέσα στο παράθυρο του RDP, η επιφάνεια εργασίας είναι στην οθόνη και πατάτε Connect στον πελάτη VPN που εκτελείται σε εκείνο το απομακρυσμένο μηχάνημα. Λίγα δευτερόλεπτα αργότερα το παράθυρο παγώνει και μετά κλείνει. Η σήραγγα ανέβηκε, ακριβώς αυτό θα αναφέρει το αρχείο καταγραφής VPN, και αυτό είναι το λιγότερο χρήσιμο γεγονός σε όλο το περιστατικό. Η συνεδρία πέθανε επειδή το μηχάνημα με το οποίο μιλούσατε άλλαξε τον τρόπο που σας απαντά, γι' αυτό ελέγξτε τη διαδρομή επιστροφής πριν αγγίξετε τη σήραγγα.

Σημειώστε το τελικό σημείο που χρησιμοποιεί πραγματικά η συνεδρία σας

Η διεύθυνση που πληκτρολογείτε στον πελάτη RDP δεν είναι απαραίτητα η διεύθυνση στην οποία απαντά ο απομακρυσμένος υπολογιστής. Το NAT, ένα RD Gateway ή ένας εξισορροπητής φόρτου μπροστά από τον κεντρικό υπολογιστή μπορούν να την ξαναγράψουν, και η διαδρομή επιστροφής ορίζεται από τη διεύθυνση προέλευσης που βλέπει το απομακρυσμένο μηχάνημα στη δεσμευμένη σύνδεση. Αν κάνετε λάθος εδώ, θα ψάχνετε διαδρομή που δεν ενεπλάκη ποτέ.

Στον απομακρυσμένο υπολογιστή, πριν συνδεθεί το VPN, καταγράψτε τις δεσμευμένες συνεδρίες και διαβάστε τη διεύθυνση ομότιμου από τον πίνακα. Μετά γράψτε τη κάπου έξω από αυτό το μηχάνημα, γιατί δεν θα μπορείτε να τη διαβάσετε αφού πέσει η συνεδρία.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Αντιμετωπίστε αυτή τη διεύθυνση ως αυτό που πρέπει να μείνει προσβάσιμο. Αν είναι ιδιωτική διεύθυνση σε VLAN διαχείρισης, η σήραγγα πρέπει να αφήσει αυτή τη διαδρομή ήσυχη. Αν είναι δημόσια διεύθυνση, η απάντηση πρέπει να βγει από τη διεπαφή που έφερε το αίτημα μέσα.

Διαβάστε τη διαδρομή που απαντά σε αυτό το τελικό σημείο

Τα Windows επιλέγουν διεπαφή για κάθε προορισμό, και το Find-NetRoute δείχνει την απόφαση που θα έπαιρνε τώρα ακριβώς. Εκτελέστε το στη διεύθυνση ομότιμου πριν συνδεθείτε, μετά ξανά με τη σήραγγα ανεβασμένη, και συγκρίνετε το ευρετήριο διεπαφής και το επόμενο άλμα στις δύο απαντήσεις. Η αλλαγή διεπαφής είναι όλο το σφάλμα σε μία γραμμή εξόδου.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Ένα προφίλ πλήρους σήραγγας εγκαθιστά προεπιλεγμένη διαδρομή μέσω της σήραγγας, όπως περιγράφει ο οδηγός δρομολόγησης VPN των Windows, οπότε κάθε απάντηση τώρα βγαίνει μέσω του VPN και εξαρτάται από το αν η άλλη πλευρά δρομολογεί πίσω στον πελάτη σας. Ένα προφίλ διαχωρισμένης σήραγγας είναι ασφαλέστερο εξ ορισμού αλλά όχι άτρωτο, γιατί μια συγκεκριμένη διαδρομή που καλύπτει τη διεύθυνση ομότιμου μπορεί ακόμη να νικήσει τη φυσική προεπιλεγμένη διαδρομή. Όπως και να έχει, το ερώτημα είναι το ίδιο: όταν ανέβει η σήραγγα, η διεύθυνση ομότιμου εξακολουθεί να επιλύεται στη διεπαφή που έφερε τη συνεδρία μέσα;

Αν όχι, η διόρθωση ανήκει στο προφίλ ή σε ρητή διαδρομή εξαίρεσης εγκεκριμένη από τον ιδιοκτήτη της πολιτικής VPN. Η χειροκίνητη επεξεργασία του πίνακα δρομολόγησης σε κεντρικό υπολογιστή παραγωγής κατά τη διάρκεια περιστατικού είναι ο τρόπος με τον οποίο μια προσωρινή λύση γίνεται ακατάγραφη ρύθμιση.

Παρατηρήστε την αλλαγή του προφίλ του τείχους προστασίας

Μια νέα διεπαφή ταξινομείται όταν εμφανιστεί, και η ταξινόμηση καθορίζει σε ποιο προφίλ τείχους προστασίας κρίνεται η κίνησή της. Ένας προσαρμογέας σήραγγας που καταλήγει στην κατηγορία Public μπορεί να σταματήσει σιωπηλά το εισερχόμενο RDP ακόμη και όταν ο πίνακας δρομολόγησης φαίνεται τέλειος. Αυτός είναι ο δεύτερος τρόπος αποτυχίας, και παράγει διαφορετικό σύμπτωμα: η διαδρομή είναι σωστή, τα πακέτα φτάνουν και ο κεντρικός υπολογιστής αρνείται τη σύνδεση.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Συγκρίνετε το προφίλ που συνδέεται με τη διεπαφή της σήραγγας με τα προφίλ στα οποία στοχεύουν οι κανόνες Remote Desktop. Ένας κανόνας ενεργοποιημένος μόνο για Domain και Private δεν κάνει τίποτα για διεπαφή ταξινομημένη ως Public, και καμία διόρθωση διαδρομής δεν το αλλάζει. Μερικοί πελάτες VPN περιορίζουν επίσης την πρόσβαση στο τοπικό υποδίκτυο εξ ορισμού, κάτι που παράγει την ίδια μορφή αποτυχίας από άλλο μηχανισμό.

Δοκιμάστε τη μετάβαση από κάπου όπου μπορείτε να ανακάμψετε

Εκτελέστε όλη την ακολουθία από κονσόλα εκτός ζώνης ή δεύτερη διαδρομή διαχείρισης, με αυτή τη σειρά: επιβεβαιώστε την υπάρχουσα συνεδρία, συνδέστε το VPN, ανοίξτε νέα συνεδρία, μετά αποσυνδέστε το VPN και ανοίξτε άλλη μία. Κάθε βήμα δοκιμάζει διαφορετική μετάβαση, και το πρώτο που αποτυγχάνει σας λέει ποιος μηχανισμός ευθύνεται.

Προγραμματίστε την επαναφορά πριν ξεκινήσετε, για παράδειγμα μια προγραμματισμένη εργασία που εκτελεί rasdial "Work VPN" /disconnect μετά από καθορισμένο διάστημα. Αυτό μετατρέπει μια χαμένη συνεδρία σε διακοπή πέντε λεπτών αντί για επίσκεψη στον χώρο, και είναι η φθηνότερη ασφάλιση σε όλη τη διαδικασία.

Μπείτε ξανά όταν η συνεδρία έχει ήδη χαθεί

Αν ο κεντρικός υπολογιστής είναι ήδη μη προσβάσιμος, σταματήστε να δοκιμάζετε νέες συνδέσεις RDP από τον ίδιο πελάτη και χρησιμοποιήστε το κανάλι ανάκτησης που έχει ήδη το περιβάλλον: ένα RD Gateway, μια κονσόλα hypervisor ή μια διεπαφή διαχείρισης εκτός ζώνης. Ζητήστε από το άτομο με πρόσβαση στην κονσόλα να εκτελέσει τις ίδιες εντολές Find-NetRoute και Get-NetConnectionProfile, ώστε τα στοιχεία να επιβιώσουν της ανάκτησης.

Μετά αποφασίστε τη μόνιμη διευθέτηση και όχι την ταχύτερη. Είτε η διαδρομή διαχείρισης διατηρείται ρητά από το προφίλ VPN, είτε η διαχείριση μετακινείται σε κανάλι που δεν εξαρτάται από την προεπιλεγμένη διαδρομή του κεντρικού υπολογιστή. Και τα δύο είναι υποστηρίξιμα· μια διαδρομή κεντρικού υπολογιστή με εικαζόμενη πύλη δεν είναι. Γράψτε ποια επιλέξατε και καταγράψτε τη διεύθυνση ομότιμου που έπρεπε να επιβιώσει.