Ĉu RDP haltas post instalado de VPN-kliento? La fajroŝirmilo kaŭzas ĝin

Kelkaj minutoj post kiam konsumanta VPN-kliento finas sian instaladon, la portalo ankoraŭ diras, ke la VM funkcias, la publika IP ne ŝanĝiĝis, kaj RDP ne respondas. Homoj kutime supozas, ke la VM kraŝis aŭ ke la reta sekureca grupo ŝanĝiĝis, kaj ambaŭ estas kutime malĝustaj. Tio, kio ŝanĝiĝis, estas la fajroŝirmila profilo de Windows, en kiu la maŝino troviĝas, kaj la RDP-regulo, kiu antaŭe kongruis, ne plu kongruas. La riparo komenciĝas per obteno de ŝelo laŭ vojo, kiu ne dependas de RDP.

La VM funkcias; la regulo ĉesis kongrui

Fajroŝirmilaj reguloj en Windows portas aron da profilo, kaj regulo limigita al Privata aŭ Domajna havas neniun efikon dum la maŝino staras en la Publika profilo. VPN-instaliloj aldonas adaptilojn kaj itinerojn, kaj pluraj el ili plifortigas la Publikan kiel flankan efikon. La aŭskultanto restas ligita al 3389 kaj la pakaĵoj ankoraŭ alvenas, sed la profilneakordo forĵetas ilin.

Elektra stato kaj atingeblo estas apartaj faktoj, kaj funkcianta VM kun fermita pordo aspektas de ekstere precize kiel kraŝinta.

Testu la pordon antaŭ ol ŝanĝi ion ajn. Provokonekto al 3389, kiu finiĝas per tempolimo dum komando de la gastaganto ankoraŭ redonas eligon, montras al la fajroŝirmilo de la gastiganto. Pordo, kiu respondas dum RDP ankoraŭ malsukcesas, signifas, ke la misfunkcio sidas super la reta tavolo, kaj ĉi tiu riparo ne tuŝos ĝin. Notu, kiun el la du kazoj vi vidis, ĉar la resto de la plano dependas de tio.

Du pordegoj fermiĝas sendepende

Unue funkcias la teksaĵa politiko: la reta sekureca grupo vidas la pakaĵon antaŭ la gasto. Tiu ordo igas perfektan NSG-enskribon senutila, kiam la gastiganto forĵetas la pakaĵon, kaj malfermitan gastigantan regulon senutila, kiam la teksaĵo rifuzas ĝin. Traktu ilin kiel apartajn pordegojn kaj testu ĉiun aparte.

Legu la efikajn regulojn de la NSG en la portalo aŭ en CLI, poste komparu ilin kun la propraj reguloj de la gasto. Ne supozu, ke la lasta ŝanĝo, kiun vi memoras, estas tiu, kiu ekvalidis.

Konsumanta kliento povas ankaŭ instali filtran pelilon aŭ mortigŝaltilon, kiu blokas trafikon sub la fajroŝirmilo de Windows. Se la fajroŝirmilaj reguloj aspektas ĝustaj kaj la pordo ankoraŭ malsukcesas, tiu tavolo estas la sekva suspektato.

Uzu la gastaganton kiel vian vojon reen

Du funkcioj de fora plenumo, Run Command kaj la Custom Script Extension, funkcias ene de la gasto per la teksaĵa agento. Neniu el ili bezonas RDP, do la fajroŝirmila eraro ne efikas ilin. Ambaŭ redonas la eligon de la skripto, kio igas ilin kanalo por diagnozo kaj samtempe por riparo.

Legu la aktivan profilon kaj la RDP-regulon antaŭ ol ŝanĝi iun ajn el ili:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Reŝalti envenantajn regulojn en tiu profilo estas provizora rimedo, ne celo. Uzu ĝin por akiri sesion, poste fermu la breĉon ĝuste:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Tiu ŝaltilo malfermas ĉiun envenantan regulon de la profilo, ne nur RDP. Post kiam vi havas sesion, anstataŭigu ĝin per limigita regulo kaj restarigu la agordojn, kiujn vi vere volas. Se la agento ankaŭ ne disponeblas, seria konzolo aŭ rekonstruita disko estas la rezerva vojo, kaj tio estas la praktika kialo teni la agenton sana.

Malvastigu la truon antaŭ ol fermi la sesion

La provizora profila ŝanĝo estas pordo tenata malfermita por ĉiu envenanta regulo de tiu profilo. Anstataŭigu ĝin per regulo limigita al via fontadreso kaj la pordo RDP, poste konfirmu, ke la profilo revenis al sia celita stato. Faru tion dum vi ankoraŭ havas la sesion, ĉar la sekva eraro eble ne estos reigebla de malproksime. Tenu duan administran vojon, kiel Bastion aŭ serian konzolon, dum la ŝanĝo.

Konfirmu la rezulton de via laborstacio per porda testo, kaj de interne de la gasto per la regolisto:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Ŝaltu fajroŝirmilan protokoladon dum la daŭro de la testo. Unu sola linio pri forĵetita pakaĵo, kiu nomas 3389 kaj la aktivan profilon, respondas la demandon pli rapide ol alia restarto.

Malhelpu la sekvan instalilon fari tion denove

Se tiu gastiganto ne havas kialon funkciigi la klienton, malinstalu ĝin. Instalita kliento estas daŭra invito por la sekva ĝisdatigo reskribi la profilon denove, kaj la sekva persono sencimigos la saman interrompon el la portalo.

Faru momentan kopion de la disko antaŭ ol lasi ion ajn reskribi retajn agordojn, kaj tenu duan administran vojon preta antaŭ ol vi bezonos ĝin.

Notu, kion la instalilo modifis: adaptiloj, itineroj, fajroŝirmilaj profilo, filtropeliloj kaj servoj. Tiu registro transformas la sekvan incidenton en konatan ŝablonon anstataŭ novan esploron. Kiam la VM bezonas tunelon al precize unu servo, metu la klienton sur vian laborstacion aŭ konstruu ligon inter retejoj anstataŭ instali sur la servilo produkton por tekkomputiloj. Konsumantaj klientoj celas tekkomputilojn, kaj servilo, kiun vi administras de malproksime, ne estas tio.