Kaugtöölaud VPN-i kaudu: millises tõrkes sa oled?

Sinu tunnel on üleval, sisemine viki laadib ja kaugtöölaud keeldub endiselt ühendamast. See kombinatsioon on tavaline, sest VPN annab marsruudi hostini, samal ajal kui töölauateenus peab kuulama, olema oma tulemüüriga lubatud ja valmis kontot autentima. Töötava tunneli ja kasutatava seansi vahel on neli tõrkeastet ja igaüks neist ebaõnnestub erineva sõnumiga. Loe esmalt sõnumit, sest see nimetab astme.

Neli tõrget, mis näevad välja nagu üks

Astmed on järjestatud: nimi lahendub privaatseks aadressiks, mida disain ette näeb, port vastab TCP käepigistusele, host võtab ühenduse vastu oma poliitika järgi ja seansi sisselogimine õnnestub. Iga aste muudab järgmise kontrollimatuks, mistõttu RDP seadete muutmine enne võrgu klaarimist tekitab ainult müra. Sümptom näeb kasutaja poolt vaadates kõigil neljal juhul ühesugune välja. Ainult kliendi sõnum eristab neid.

Toimiv sisemine veebisait ei tõesta ühtki neljast. See tõestab, et host samas võrgus vastas teisel pordil teise teenusega. Võta seda tõendina marsruutimise kohta ja mitte millegi enama kohta.

Testi järjekorras ja kirjuta tulemus üles. Sisselogimisaknale hüppamine sellepärast, et port vastas, on viis, kuidas veeta terve pärastlõuna tulemüüriprobleemiga, mille esimene samm oli juba lokaliseerinud.

Kas midagi kuulab pordil 3389?

Alusta nimest, sest vale aadressi lahenduv nimi muudab kehtetuks iga järgneva testi. Küsi tunneli lahendajalt, mida nimi tähendab, seejärel võrdle vastust privaatse aadressiga, mida disain ette näeb, mitte õnnestunud vastusega. Avalikuks aadressiks lahenduv nimi on kogu probleem ja ükski RDP muudatus ei paranda seda:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Seejärel testi porti, mitte hosti. Lõpetatud TCP käepigistus pordil 3389 eristab kättesaadavuse kõigest sellest, mis on kõrgemal:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Tee seda testi LAN-ist ja tunnelist, sest kahe tulemuse erinevus paigutab vea VPN-i marsruudile. Marsruudil on kaks tulemüüri ja neid on kerge segi ajada: võrk peab lubama kliendi tunneli aadressil hostini jõuda ja hosti enda tulemüür peab lubama sama allikat kuulaval pordil. LAN-i alamvõrguga piiratud reegel ei kata VPN-i kliendipooli ja see on kõige tavalisem põhjus, miks ainult kaugkasutajad teatavad aegumisest. Kontrolli reegli ulatust, mitte selle olemasolu.

Tagasitee väärib sama kontrolli. Vastused vajavad marsruudi tagasi kliendipooli, mitte LAN-i, ja hosti ees olev tõlge muudab allikat, mida sinu logi näitab. Kui port vastab ühes suunas ja teises mitte, on puuduv pool tavaliselt tagasitee.

Loe sõnumit enne, kui loed konfiguratsiooni

Kolmas aste on host, kes keeldub ühendusest oma poliitika järgi, mis näeb sageli välja nagu port, mis avaneb ja sulgub kohe. Miski vastas ja see on kasulik teave, mitte vaikus. Kui käepigistus lõpetati ja seanss suri kohe, on võrk korras ja otsustab host. Vaata kaugtöölaua õigusi enne, kui võrku uuesti puutud.

Funktsioon võib olla masina jaoks lubatud, samal ajal kui juurdepääs on piiratud kindlate gruppidega, ja kuulaja võib olla seotud viisil, mis välistab aadressi, kust sa saabusid. Võrgu tasandi autentimine lisab värava, mis ebaõnnestub enne töölaua laadimist, ja selle veatekst erineb vale parooli omast. Võrdle kliendi sõnumit hosti sündmustelogiga, sest sõnum nimetab väravat ja logi kontot.

Seansi sisselogimine on omaette piir

Autentimine kuulub töölauateenusele, mitte VPN-ile. Tunneli identiteet ja töölauakonto on eraldi volitused eraldi lukustuspoliitikatega, seega toimiv tunnel tõestab ainult seda, et tunnel võttis sind vastu. Töölauakonto lukustamine ei häiri tunnelit ja vastupidi on samuti tõsi.

Hoia mõlemad terved. Kui privaatne marsruut puudub, paranda marsruut, sest kuulaja avalikustamine internetis vahetab kättesaadavuse vea avatud töölaua vastu. Ära nõrgenda ka seansi identiteedikontrolle, et mööduda sertifikaadihoiatusest, mis ilmus samal ajal. RDP kuulajal olev iseallkirjastatud sertifikaat annab hoiatuse disaini järgi, seega selle aktsepteerimine on otsus, mitte samm.

Loenda katseid enne uuesti proovimist. Töölaua lukustusläved loevad ebaõnnestunud sisselogimisi VPN-i tõrgetest eraldi ja taimeril uuesti prooviv klient võib läve ületada, samal ajal kui sa alles reeglit muudad. See on sama paralleelsete korduskatsete mehhanism, mis lukustab kontod pärast parooli muutmist.

Mida seanss saab liigutada ja kuhu see jääb

Õpi kinnitatud väljalogimise töövoog enne, kui seda vaja läheb. Akna sulgemine võib ainult vaate lahti ühendada, samal ajal kui seanss jätkab oma konfigureeritud poliitika järgi töötamist, mis loeb jagatud või auditeeritud hostil. Logi seansi seest välja, kui poliitika seda eeldab.

Seejärel otsusta, mida seanss tohib kanda, sest lõikelaud, suunatud kettad, printeri ümbersuunamine ja failiedastus liigutavad andmeid kohaliku ja kaugema süsteemi vahel seal, kus poliitika lubab. Teisel pool töötav avaldatud rakendus ei ole automaatselt allalaadimisvaba piir ja ainult loetavana näiv seanss võib ikkagi lõikelauda kanda. Testi tegelikku ülesannet, mitte ühendust: ava fail, kasuta rakendust ja kinnita ümbersuunamine, mida vajad. Microsofti juhis kaugtöölaua kättesaamiseks väljastpoolt kirjeldab toetatud avamise valikuid ja on parem viide kui surve all lisatud avalik kuulaja.