RDP lakkab töötamast pärast VPN-kliendi paigaldamist? Süüdi on tulemüür

Mõni minut pärast seda, kui tavatarbija VPN-klient on paigaldamise lõpetanud, ütleb portaal endiselt, et VM töötab, avalik IP ei ole muutunud ja RDP ei vasta. Inimesed eeldavad tavaliselt, et VM jooksis kokku või et võrgu turvagrupp muutus, ja mõlemad on tavaliselt vale. Muutunud on Windowsi tulemüüri profiil, milles masin asub, ja RDP-reegel, mis varem sobis, ei sobi enam. Parandus algab sellest, et hankida kest teed pidi, mis ei sõltu RDP-st.

VM töötab; reegel ei sobi enam

Windowsi tulemüürireeglitel on profiilikomplekt ja privaatsele või domeeni profiilile piiratud reeglil ei ole mingit mõju, kuni masin on avalikus profiilis. VPN-i paigaldajad lisavad adaptereid ja marsruute ning mitmed neist karmistavad avalikku profiili kõrvalmõjuna. Kuulaja jääb 3389 külge ja paketid saabuvad endiselt, kuid profiili sobimatus viskab need ära.

Toitseisund ja kättesaadavus on eraldi faktid ning suletud pordiga töötav VM näeb väljast täpselt välja nagu kokkujooksnud VM.

Kontrollige porti enne millegi muutmist. Ühenduskatse pordile 3389, mis lõpeb aegumisega, samal ajal kui külalisagendi käsk annab endiselt väljundit, viitab hosti tulemüürile. Port, mis vastab, aga RDP ikka ebaõnnestub, tähendab, et viga on võrgukihist kõrgemal ja see parandus ei puutu seda. Märkige üles, kumba kahest juhtumist nägite, sest ülejäänud plaan sõltub sellest.

Kaks väravat sulguvad sõltumatult

Esimesena toimib platvormi poliitika: võrgu turvagrupp näeb paketti enne külalist. See järjekord teeb täiusliku NSG-kirje kasutuks, kui host paketi ära viskab, ja avatud hosti reegli kasutuks, kui platvorm selle keelab. Käsitlege neid eraldi väravatena ja testige kumbagi eraldi.

Lugege NSG kehtivaid reegleid portaalist või CLI-st ja võrrelge neid seejärel külalise enda reeglitega. Ärge eeldage, et viimane muudatus, mida mäletate, on jõustunud muudatus.

Tavatarbija klient võib paigaldada ka filtri draiveri või tappislüliti, mis blokeerib liiklust Windowsi tulemüüri all. Kui tulemüürireeglid näivad korrektsed ja port ikka ebaõnnestub, on see kiht järgmine kahtlusalune.

Kasutage külalisagent tagasiteena

Kaks kaugkäituse funktsiooni, Run Command ja Custom Script Extension, töötavad külalise sees platvormi agendi kaudu. Kumbki ei vaja RDP-d, seega tulemüüri viga neid ei mõjuta. Mõlemad tagastavad skripti väljundi, mis teeb neist diagnostika- ja ühtlasi paranduskanali.

Lugege aktiivset profiili ja RDP-reeglit enne, kui muudate kumbagi:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Sissetulevate reeglite uuesti lubamine selles profiilis on ajutine meede, mitte siht. Kasutage seda sessiooni saamiseks ja sulgege seejärel tühik korralikult:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

See lüliti avab profiili iga sissetuleva reegli, mitte ainult RDP. Kui sessioon on käes, asendage see piiratud reegliga ja taastage seaded, mida tegelikult soovite. Kui ka agent pole saadaval, on varuvariant jadapordi konsool või uuesti ehitatud ketas, ja see on praktiline põhjus hoida agent terve.

Kitsendage auk enne, kui sessiooni sulgete

Ajutine profiilimuudatus on uks, mis hoitakse lahti iga selle profiili sissetuleva reegli jaoks. Asendage see reegliga, mis on piiratud teie lähteaadressi ja RDP pordiga, ja kinnitage seejärel, et profiil on tagasi ettenähtud olekus. Tehke seda veel sessiooni ajal, sest järgmine viga ei pruugi olla kaugjuhtimisega tagasipööratav. Hoidke muudatuse ajal käepärast teist haldusteet, näiteks Bastion või jadapordi konsool.

Kinnitage tulemus oma tööjaamast pordi testiga ja külalise seest reeglite loendiga:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Lülitage testi ajaks sisse tulemüüri logimine. Üks rida äravisatud paketi kohta, mis nimetab 3389 ja aktiivset profiili, vastab küsimusele kiiremini kui veel üks taaskäivitus.

Takistage järgmisel paigaldajal seda uuesti teha

Kui sellel hostil pole põhjust klienti käitada, desinstallige see. Paigaldatud klient on alaline kutse järgmisele uuendusele profiil uuesti üle kirjutada ja järgmine inimene silub sama katkestust portaalist.

Tehke kettast hetktõmmis enne, kui lasete millelgi võrguseadeid üle kirjutada, ja hoidke teine haldusteet valmis enne, kui seda vajate.

Kirjutage üles, mida paigaldaja muutis: adapterid, marsruudid, tulemüüriprofiilid, filtridraiverid ja teenused. See kirje muudab järgmise juhtumi tuntud mustriks, mitte uueks uurimiseks. Kui VM vajab tunnelit täpselt ühe teenuseni, pange klient oma tööjaama või looge saidi-vaheline ühendus, selle asemel et paigaldada serverisse sülearvuti toode. Tavatarbija kliendid on mõeldud sülearvutitele ja server, mida haldate kaugelt, ei ole see.