Cisco Secure Client blokeerib VPN-i RDP-seansist

Sisselogimine õnnestub ja tunnel ei tõuse ikkagi. See kombinatsioon ajab inimesi segadusse, sest seda loetakse autentimisprobleemina ja seejärel veedetakse pärastlõuna mandaate lähtestades, mis ei olnud kunagi põhjus. Cisco Secure Client võib keelduda VPN-i loomast just seetõttu, et katse tuli Remote Desktopi seansist, ja selle otsuse teeb poliitika kliendi poolel.

Kus see ühendusevoos ilmneb

Käige klient ülalt läbi. Profiil laaditakse, mandaadid kogutakse ja autentimine lõpeb. Seejärel, enne kui ükskõik milline tunnel ehitatakse, hindab klient oma seansi- ja loomisseadeid keskkonna suhtes, milles ta asub.

Kirjutage sel hetkel üles kolm asja: täpne sõnum, kliendi versioon ja kliendis kuvatav profiilinimi. Need kolm muudavad ebamäärase kaebuse tugitaotluseks, millega saab keegi midagi teha. Tehke dialoogist ekraanipilt, sest pikad sõnumid lühendatakse logis. Märkige ka kellaaeg, et administraator saaks seda peakontoriga võrrelda.

Säte, mis tegelikult otsustab

Poliitika Windows VPN Establishment on asjakohane kontroll ja sellel on kaks dokumenteeritud väärtust: ainult kohalikud kasutajad ja luba kaugkasutajaid. Teine lubab tunnelit luua Remote Desktopi seansist toetatud konfiguratsioonis. Esimene on paljudes ettevõtteprofiilides vaikehinnang.

Ärge ajage seda segi Windows Logon Enforcementiga, mille profiilijuhend dokumenteerib eraldi poliitikana sisselogimisseansside kohta. Üks reguleerib, milline seanss tohib tunnelit ehitada, teine reguleerib samaaegset või enne sisselogimist toimuvat käitumist. Vale muutmine ei anna nähtavat mõju.

Lugege profiili, mida tegelikult rakendatakse

Hallatud juurutuses saab klient oma profiili peakontorist või hallatavast asukohast ning kettal redigeeritud koopia ei ole sageli see, mis kehtib. Seetõttu võib kohalik XML-i muudatus tunduda õige ega muuda midagi.

Küsige administraatorilt, millise profiili ja millise rühmapoliitika seade saab, mitte milline fail sülearvutis on. Need kaks lahknevad pärast versiooniuuendust sageli. Kohalikus kaustas olev vananenud koopia avaneb endiselt redaktoris ja näeb endiselt õige välja. See lihtsalt ei ole see, mida klient rakendas.

RDP-tee pärast tunneli tõusmist

Kaugloomise lubamine ei taga, et teie Remote Desktopi seanss jääb püsima. Kui tunnel muudab marsruute või kohalikke juurdepääsureegleid, võib seanss, mis teid sisse tõi, kaotada tee, mis seda hoiab.

Planeerige taastuskanal enne muudatust: konsoolijuurdepääs, ribaväline haldustee või dokumenteeritud taasühendamise protseduur. Selle otsustamine hiljem tähendab tavaliselt sõitu masina juurde.

Ärge kasutage seansivarguse trikke, alternatiivseid kaugjuhtimisvahendeid ega skripti kirjutatud parooli poliitikast möödaminekuks. Kui organisatsioon seda töövoogu ei luba, on õige samm haldustee, mida see toetab.

Mida administraatorile saata

Andke neile sõnumi tekst, kliendi versioon, aktiivse profiili nimi, seansi tüüp, mille kaudu ühendusite, ja kas kohaliku konsooli katse käitub teisiti. Lisage ajatempel.

Just viimane võrdlus säästab aega, sest see eristab seansipoliitika keeldumise seadmepõhisest rikkest.

Kontrollige pärast kinnitatud muudatust

Kui profiil on uuendatud, looge uus RDP-seanss ja ühenduge uuesti, seejärel läbige katkestusjärjestus meelega. Kinnitage, et tunnel tõuseb, haldustee jääb püsima ja teie konto saab endiselt töölauale sisse logida.

VPN-i lubamine, seansi püsimajäämine ja Windowsi sisselogimisluba on kolm eraldi kontrolli. Ühe läbimine ei ütle teiste kahe kohta midagi.