Escritorio remoto a través de una VPN: ¿en qué fallo estás?

Tu túnel está activo, la wiki interna carga y el escritorio remoto sigue negándose a conectar. Esa combinación es normal, porque la VPN proporciona una ruta hasta el host mientras el servicio de escritorio tiene que estar escuchando, permitido por su propio cortafuegos y dispuesto a autenticar la cuenta. Cuatro etapas de fallo separan un túnel funcional de una sesión utilizable, y cada una falla con un mensaje distinto. Lea primero el mensaje, porque nombra la etapa.

Cuatro fallos que parecen uno

Las etapas están ordenadas: el nombre resuelve a la dirección privada que el diseño pretende, el puerto responde a un handshake TCP, el host acepta la conexión según su propia política y el inicio de sesión de la sesión tiene éxito. Cada etapa hace imposible probar la siguiente, por eso cambiar los ajustes de RDP antes de que la red esté resuelta solo produce ruido. El síntoma parece idéntico desde el lado del usuario en los cuatro casos. Solo el mensaje del cliente los separa.

Un sitio web interno que funciona no demuestra ninguna de las cuatro cosas. Demuestra que un host de la misma red respondió en un puerto distinto con un servicio distinto. Tómelo como evidencia sobre el enrutamiento y nada más.

Pruebe en orden y anote el resultado. Saltar a la pantalla de inicio de sesión porque el puerto respondió es la forma de perder una tarde en un problema de cortafuegos que el primer paso ya localizó.

¿Hay algo escuchando en el 3389?

Empiece por el nombre, porque un nombre que resuelve a la dirección equivocada invalida todas las pruebas posteriores. Pregunte al resolutor del túnel qué significa el nombre y luego compare la respuesta con la dirección privada que el diseño pretende, no con una respuesta correcta. Un nombre que resuelve a una dirección pública es todo el problema, y ningún cambio de RDP lo arreglará:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Después pruebe el puerto en lugar del host. Un handshake TCP completado en el 3389 separa el alcance de todo lo que hay encima:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Ejecute esa prueba desde la LAN y desde el túnel, porque una diferencia entre ambos resultados localiza el fallo en la ruta de la VPN. En la ruta hay dos cortafuegos y es fácil confundirlos: la red debe permitir que la dirección del túnel del cliente llegue al host, y el cortafuegos propio del host debe permitir esa misma fuente en el puerto que escucha. Una regla limitada a la subred LAN no cubre el grupo de clientes VPN, y es la causa más común de un tiempo de espera que solo reportan los usuarios remotos. Compruebe el alcance, no la existencia de la regla.

La ruta de vuelta merece la misma comprobación. Las respuestas necesitan una ruta de regreso al grupo de clientes y no a la LAN, y una traducción delante del host cambia la fuente que mostrará su registro. Si el puerto responde en una dirección y no en la otra, la mitad que falta suele ser la ruta de vuelta.

Lea el mensaje antes de leer la configuración

La tercera etapa es el host rechazando la conexión según su propia política, algo que a menudo parece un puerto que se abre y se cierra de inmediato. Algo respondió, y eso es información útil en lugar de silencio. Si el handshake se completó y la sesión murió enseguida, la red está bien y decide el host. Revise los permisos de escritorio remoto antes de volver a tocar la red.

La característica puede estar habilitada para el equipo mientras el acceso se limita a grupos concretos, y el escucha puede estar enlazado de formas que excluyen la dirección desde la que llegó. La autenticación a nivel de red añade una puerta que falla antes de que cargue el escritorio, y su texto de error difiere del de una contraseña incorrecta. Compare el mensaje del cliente con el registro de eventos del host, porque el mensaje nombra la puerta y el registro, la cuenta.

El inicio de sesión es su propia frontera

La autenticación pertenece al servicio de escritorio, no a la VPN. La identidad del túnel y la cuenta del escritorio son credenciales separadas con políticas de bloqueo separadas, así que un túnel funcional solo demuestra que el túnel le aceptó. Bloquear la cuenta del escritorio no altera el túnel, y lo contrario también es cierto.

Mantenga ambas intactas. Cuando falta la ruta privada, arregle la ruta, porque publicar el escucha en internet cambia un fallo de alcance por un escritorio expuesto. Tampoco debilite las comprobaciones de identidad de la sesión para pasar un aviso de certificado que apareció al mismo tiempo. Un certificado autofirmado en un escucha RDP produce un aviso por diseño, así que aceptarlo es una decisión y no un paso.

Cuente los intentos antes de reintentar. Los umbrales de bloqueo del escritorio cuentan los inicios de sesión fallidos por separado de los fallos de VPN, y un cliente que reintenta con temporizador puede superar el umbral mientras usted todavía edita una regla. Es el mismo mecanismo de reintentos en paralelo que bloquea cuentas tras un cambio de contraseña.

Qué puede mover la sesión y dónde se queda

Aprenda el flujo de cierre de sesión aprobado antes de necesitarlo. Cerrar la ventana puede desconectar solo la vista mientras la sesión sigue ejecutándose según su política configurada, lo que importa en un host compartido o auditado. Cierre la sesión desde dentro cuando la política lo espere.

Luego decida qué puede llevar la sesión, porque el portapapeles, las unidades redirigidas, la redirección de impresoras y la transferencia de archivos mueven datos entre los sistemas local y remoto donde la política lo permite. Una aplicación publicada que se ejecuta al otro lado no es automáticamente una frontera sin descargas, y una sesión que parece de solo lectura puede seguir llevando un portapapeles. Pruebe la tarea real y no la conexión: abra el archivo, use la aplicación y confirme la redirección que necesita. Las indicaciones de Microsoft para llegar a un escritorio remoto desde fuera describen las opciones de exposición admitidas, y son una referencia mejor que un escucha público añadido bajo presión.