Miks RDP külmub, kui kaugarvuti loob VPN-ühenduse

Sa oled RDP-akna sees, töölaud on ekraanil ja vajutad Connect VPN-kliendis, mis töötab sellel kaugmasinal. Mõne sekundi pärast aken külmub ja sulgub seejärel. Tunnel tuli üles, täpselt seda raporteerib VPN-logi, ja see on kogu juhtumi kõige vähem kasulik fakt. Seanss suri, sest masin, kellega sa rääkisid, muutis viisi, kuidas sulle vastata, seega vaata tagasitee üle enne, kui tunnelit puutud.

Pane kirja lõpp-punkt, mida sinu seanss tegelikult kasutab

RDP-kliendisse trükitud aadress ei ole tingimata aadress, millele kaugarvuti vastab. NAT, RD Gateway või hosti ees olev koormusjaotur võivad selle ümber kirjutada, ja tagasitee määrab see lähteaadress, mida kaugmasin loodud ühendusel näeb. Kui siin eksida, otsid marsruuti, mis ei olnud kunagi mängus.

Kaugarvutis, enne kui VPN on ühendatud, loetle loodud seansid ja loe tabelist partneri aadress. Seejärel kirjuta see kuhugi väljapoole seda masinat, sest pärast seansi kukkumist ei saa sa seda enam lugeda.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Käsitle seda aadressi asjana, mis peab jääma kättesaadavaks. Kui see on privaatne aadress haldus-VLAN-is, peab tunnel selle tee rahule jätma. Kui see on avalik aadress, peab vastus väljuma sama liidese kaudu, mis tõi päringu sisse.

Loe marsruut, mis sellele lõpp-punktile vastab

Windows valib iga sihtkoha jaoks liidese ja Find-NetRoute näitab otsust, mille see praegu teeks. Käivita see partneri aadressi vastu enne ühendamist, siis uuesti tunnel üleval, ja võrdle kahes vastuses liidese indeksit ja järgmist hüpet. Liidese muutumine on kogu viga ühes väljundireas.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Täistunneli profiil paigaldab tunneli kaudu vaikimisi marsruudi, nagu Windowsi VPN-marsruutimise juhend kirjeldab, seega väljub nüüd iga vastus VPN-i kaudu ja sõltub sellest, kas teine pool marsruudib tagasi sinu kliendi juurde. Jagatud tunneli profiil on vaikimisi turvalisem, kuid mitte immuunne, sest partneri aadressi kattev konkreetne marsruut võib ikkagi füüsilise vaikemarsruudi võita. Igal juhul on küsimus sama: kas pärast tunneli ülestulekut laheneb partneri aadress endiselt sellele liidesele, mis tõi seansi sisse?

Kui ei, kuulub parandus profiili või selgesõnalisse erandmarsruuti, mille on heaks kiitnud VPN-poliitika omanik. Marsruutimistabeli käsitsi muutmine tootmishostis juhtumi ajal on viis, kuidas ajutisest lahendusest saab dokumenteerimata konfiguratsioon.

Jälgi tulemüüri profiili muutumist

Uus liides klassifitseeritakse selle ilmumisel ja klassifikatsioon otsustab, millise tulemüüri profiili järgi selle liiklust hinnatakse. Public-kategooriasse langev tunneliadapter võib vaikselt peatada sissetuleva RDP, isegi kui marsruutimistabel näeb täiuslik välja. See on teine tõrkerežiim ja annab teistsuguse sümptomi: marsruut on õige, paketid saabuvad ja host keeldub ühendusest.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Võrdle tunneli liidesega seotud profiili nende profiilidega, millele Remote Desktopi reeglid on suunatud. Ainult Domaini ja Private jaoks lubatud reegel ei tee Public-kategooria liidese jaoks midagi ja ükski marsruudiparandus ei muuda seda. Mõned VPN-kliendid piiravad ka kohaliku alavõrgu juurdepääsu projekteeritult, mis tekitab sama tõrke kuju teisest mehhanismist.

Testi üleminekut kohast, kust saad taastuda

Tee kogu jada välisest konsoolist või teisest haldusteest selles järjekorras: kinnita olemasolev seanss, ühenda VPN, ava uus seanss, seejärel katkesta VPN ja ava veel üks. Iga samm testib erinevat üleminekut ja esimene, mis ebaõnnestub, ütleb sulle, milline mehhanism on vastutav.

Planeeri tagasipöördumine enne alustamist, näiteks ajastatud ülesanne, mis käivitab rasdial "Work VPN" /disconnect määratud intervalli järel. See muudab kaotatud seansi viie minuti katkestuseks kohapealse visiidi asemel ja on kogu protseduuri odavaim kindlustus.

Tule tagasi sisse, kui seanss on juba läinud

Kui host on juba kättesaamatu, lõpeta uute RDP-ühenduste proovimine samast kliendist ja kasuta taastamise kanalit, mis keskkonnal juba on: RD Gateway, hüperviisori konsool või välisjuhtimise liides. Palu konsooli juurdepääsuga inimesel käivitada samad käsud Find-NetRoute ja Get-NetConnectionProfile, et tõendid taastamise üle elaksid.

Seejärel otsusta püsiv lahendus, mitte kiireim. Kas haldustee säilitatakse VPN-profiiliga sõnaselgelt või viiakse haldus kanalile, mis ei sõltu hosti vaikemarsruudist. Mõlemad on põhjendatavad; hosti marsruut oletatud lüüsiga ei ole. Kirjuta üles, mille valisid, ja fikseeri partneri aadress, mis pidi vastu pidama.