RDP پس از نصب کلاینت VPN متوقف می‌شود؟ دیوار آتش مقصر است

چند دقیقه پس از پایان نصب کلاینت VPN مصرفی، پورتال هنوز می‌گوید VM در حال اجراست، IP عمومی تغییر نکرده و RDP پاسخ نمی‌دهد. مردم معمولاً فکر می‌کنند VM از کار افتاده یا گروه امنیت شبکه تغییر کرده و هر دو معمولاً اشتباه است. چیزی که تغییر کرده پروفایل دیوار آتش ویندوز است که ماشین در آن قرار دارد، و قاعده RDP که قبلاً مطابقت داشت دیگر مطابقت ندارد. تعمیر با گرفتن یک پوسته از مسیری آغاز می‌شود که به RDP وابسته نیست.

VM در حال اجراست؛ قاعده دیگر مطابقت ندارد

قواعد دیوار آتش در ویندوز مجموعه‌ای از پروفایل‌ها را حمل می‌کنند و قاعده‌ای که به پروفایل خصوصی یا دامنه محدود شده تا وقتی ماشین در پروفایل عمومی است هیچ اثری ندارد. نصب‌کننده‌های VPN آداپتورها و مسیرها را اضافه می‌کنند و بسیاری از آنها پروفایل عمومی را به‌عنوان عارضه جانبی سخت‌تر می‌کنند. شنونده به 3389 بسته می‌ماند و بسته‌ها همچنان می‌رسند، اما ناسازگاری پروفایل آنها را دور می‌ریزد.

وضعیت توان و دسترس‌پذیری دو واقعیت جداگانه‌اند و VM در حال اجرا با درگاه بسته از بیرون دقیقاً مانند یکی از کار افتاده به نظر می‌رسد.

پیش از تغییر هر چیزی درگاه را بررسی کنید. تلاش برای اتصال به 3389 که به پایان مهلت می‌رسد در حالی که فرمان عامل مهمان هنوز خروجی برمی‌گرداند به دیوار آتش میزبان اشاره دارد. درگاهی که پاسخ می‌دهد اما RDP همچنان شکست می‌خورد یعنی ایراد بالای لایه شبکه است و این تعمیر به آن دست نمی‌زند. یادداشت کنید کدام یک از دو حالت را دیدید، چون بقیه برنامه به آن بستگی دارد.

دو دروازه مستقل از هم بسته می‌شوند

سیاست فابریک اول اجرا می‌شود: گروه امنیت شبکه بسته را پیش از مهمان می‌بیند. این ترتیب یک ورودی بی‌نقص NSG را وقتی میزبان بسته را دور می‌ریزد بی‌فایده می‌کند و قاعده باز میزبان را وقتی فابریک آن را رد می‌کند بی‌فایده. آنها را دو دروازه جدا در نظر بگیرید و هر یک را جداگانه آزمایش کنید.

قواعد مؤثر NSG را در پورتال یا CLI بخوانید و سپس آنها را با قواعد خود مهمان مقایسه کنید. فرض نکنید آخرین تغییری که به یاد دارید همان است که اعمال شده.

کلاینت مصرفی می‌تواند درایور فیلتر یا کلید قطعی نصب کند که ترافیک را زیر دیوار آتش ویندوز مسدود می‌کند. اگر قواعد دیوار آتش درست به نظر می‌رسند و درگاه همچنان شکست می‌خورد، آن لایه مشکوک بعدی است.

از عامل مهمان به‌عنوان راه بازگشت استفاده کنید

دو ویژگی اجرای از راه دور، Run Command و Custom Script Extension، از طریق عامل فابریک داخل مهمان اجرا می‌شوند. هیچ‌کدام به RDP نیاز ندارد، پس اشتباه دیوار آتش بر آنها اثر نمی‌گذارد. هر دو خروجی اسکریپت را برمی‌گردانند و این آنها را کانال تشخیص و همزمان کانال تعمیر می‌کند.

پروفایل فعال و قاعده RDP را پیش از تغییر هر یک بخوانید:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

دوباره فعال کردن قواعد ورودی در آن پروفایل اقدامی موقت است، نه مقصد. از آن برای گرفتن نشست استفاده کنید و سپس شکاف را درست ببندید:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

آن کلید هر قاعده ورودی پروفایل را باز می‌کند، نه فقط RDP را. وقتی نشست داشتید، آن را با قاعده‌ای محدود جایگزین کنید و تنظیماتی را که واقعاً می‌خواهید بازگردانید. اگر عامل هم در دسترس نباشد، گزینه پشتیبان کنسول سریال یا دیسکی است که از نو ساخته شده و این دلیل عملی سالم نگه داشتن عامل است.

پیش از بستن نشست، شکاف را تنگ کنید

تغییر موقت پروفایل دری است که برای هر قاعده ورودی آن پروفایل باز نگه داشته می‌شود. آن را با قاعده‌ای محدود به نشانی مبدأ و درگاه RDP جایگزین کنید و سپس تأیید کنید پروفایل به وضعیت مورد نظر بازگشته است. این کار را وقتی هنوز نشست دارید انجام دهید، چون اشتباه بعدی ممکن است از راه دور برگشت‌پذیر نباشد. در طول تغییر یک مسیر مدیریتی دوم مانند Bastion یا کنسول سریال آماده نگه دارید.

نتیجه را از ایستگاه کاری خود با آزمون درگاه و از داخل مهمان با فهرست قواعد تأیید کنید:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

برای مدت آزمون ثبت وقایع دیوار آتش را روشن کنید. یک خط درباره بسته دورریخته‌شده که 3389 و پروفایل فعال را نام می‌برد سریع‌تر از یک راه‌اندازی مجدد دیگر به پرسش پاسخ می‌دهد.

جلوی نصب‌کننده بعدی را بگیرید که دوباره این کار را بکند

اگر آن میزبان دلیلی برای اجرای کلاینت ندارد، آن را حذف کنید. کلاینت نصب‌شده دعوتی دائمی است تا به‌روزرسانی بعدی پروفایل را دوباره بازنویسی کند و نفر بعدی همان قطعی را از پورتال اشکال‌زدایی خواهد کرد.

پیش از آنکه چیزی تنظیمات شبکه را بازنویسی کند از دیسک عکس بگیرید و مسیر مدیریتی دومی را پیش از نیاز آماده نگه دارید.

ثبت کنید نصب‌کننده چه چیزی را تغییر داد: آداپتورها، مسیرها، پروفایل‌های دیوار آتش، درایورهای فیلتر و سرویس‌ها. آن سابقه حادثه بعدی را به الگوی شناخته‌شده تبدیل می‌کند نه بررسی تازه. وقتی VM تونلی دقیقاً به یک سرویس نیاز دارد، کلاینت را روی ایستگاه کاری خود بگذارید یا پیوندی میان دو سایت بسازید به‌جای نصب یک محصول لپ‌تاپ روی سرور. کلاینت‌های مصرفی برای لپ‌تاپ‌ها ساخته شده‌اند و سروری که از راه دور مدیریت می‌کنید چنین نیست.