Pysähtyykö RDP VPN-asiakasohjelman asennuksen jälkeen? Syy on palomuuri

Muutama minuutti sen jälkeen, kun kuluttajille tarkoitettu VPN-asiakasohjelma on lopettanut asennuksen, portaali sanoo edelleen, että VM on käynnissä, julkinen IP ei ole muuttunut ja RDP ei vastaa. Ihmiset olettavat yleensä, että VM on kaatunut tai että verkon suojausryhmä on muuttunut, ja molemmat ovat yleensä väärin. Muuttunut on Windowsin palomuuriprofiili, jossa kone on, eikä RDP-sääntö, joka ennen täsmäsi, enää täsmää. Korjaus alkaa hankkimalla kuori reittiä, joka ei riipu RDP:stä.

VM on käynnissä; sääntö lakkasi täsmäämästä

Windowsin palomuurisäännöillä on profiilijoukko, eikä Yksityiseen tai Toimialueeseen rajattu sääntö vaikuta, kun kone on Julkisessa profiilissa. VPN-asentajat lisäävät sovittimia ja reittejä, ja useat niistä kiristävät Julkista sivutuotteena. Kuuntelija pysyy sidottuna porttiin 3389 ja paketit saapuvat edelleen, mutta profiilien ero hylkää ne.

Virrantila ja tavoitettavuus ovat erillisiä tosiasioita, ja käynnissä oleva VM, jolla on suljettu portti, näyttää ulkoa täsmälleen kaatuneelta.

Testaa portti ennen kuin muutat mitään. Yritys yhdistää porttiin 3389, joka päättyy aikakatkaisuun samalla kun vierasagentin komento palauttaa yhä tulostetta, viittaa isännän palomuuriin. Portti, joka vastaa, mutta RDP epäonnistuu yhä, tarkoittaa, että vika on verkkokerroksen yläpuolella, eikä tämä korjaus koske siihen. Kirjaa, kumman kahdesta tapauksesta näit, sillä loput suunnitelmasta riippuu siitä.

Kaksi porttia sulkeutuvat toisistaan riippumatta

Alustan käytäntö kulkee ensin: verkon suojausryhmä näkee paketin ennen vierasta. Tämä järjestys tekee täydellisestä NSG-merkinnästä hyödyttömän, kun isäntä pudottaa paketin, ja avoimesta isännän säännöstä hyödyttömän, kun alusta kieltää sen. Käsittele niitä erillisinä portteina ja testaa kumpaakin erikseen.

Lue NSG:n voimassa olevat säännöt portaalista tai CLI:stä ja vertaa niitä sitten vieraan omiin sääntöihin. Älä oleta, että viimeisin muistamasi muutos on se, joka tuli voimaan.

Kuluttaja-asiakasohjelma voi myös asentaa suodatinajurin tai kill switchin, joka estää liikennettä Windowsin palomuurin alapuolella. Jos palomuurisäännöt näyttävät oikeilta ja portti epäonnistuu yhä, seuraava epäilty on tuo kerros.

Käytä vierasagenttia paluutienä

Kaksi etäsuorituksen ominaisuutta, Run Command ja Custom Script Extension, ajetaan vieraan sisällä alustan agentin kautta. Kumpikaan ei tarvitse RDP:tä, joten palomuurivirhe ei vaikuta niihin. Molemmat palauttavat skriptin tulosteen, mikä tekee niistä diagnoosi- ja korjauskanavan.

Lue aktiivinen profiili ja RDP-sääntö ennen kuin muutat kumpaakaan:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Saapuvien sääntöjen uudelleen käyttöönotto kyseisessä profiilissa on väliaikainen toimenpide, ei päämäärä. Käytä sitä istunnon saamiseen ja sulje sitten aukko kunnolla:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Tuo kytkin avaa jokaisen profiilin saapuvan säännön, ei vain RDP:tä. Kun istunto on, korvaa se rajatulla säännöllä ja palauta asetukset, jotka oikeasti haluat. Jos agentti ei myöskään ole saatavilla, varavaihtoehto on sarjakonsoli tai uudelleen rakennettu levy, ja se on käytännöllinen syy pitää agentti kunnossa.

Kavenna aukkoa ennen kuin suljet istunnon

Väliaikainen profiilimuutos on ovi, joka pidetään avoinna jokaiselle kyseisen profiilin saapuvalle säännölle. Korvaa se säännöllä, joka on rajattu lähdeosoitteeseesi ja RDP-porttiin, ja vahvista sitten, että profiili on palannut aiottuun tilaansa. Tee tämä vielä kun istunto on sinulla, sillä seuraava virhe ei välttämättä ole etänä peruutettavissa. Pidä toinen hallintareitti, kuten Bastion tai sarjakonsoli, valmiina muutoksen ajan.

Vahvista tulos työasemastasi porttitestillä ja vieraan sisältä sääntöluettelolla:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Kytke palomuurin lokitus päälle testin ajaksi. Yksi rivi hylätystä paketista, joka mainitsee 3389 ja aktiivisen profiilin, vastaa kysymykseen nopeammin kuin vielä yksi uudelleenkäynnistys.

Estä seuraavaa asentajaa tekemästä sitä uudelleen

Jos tuolla isännällä ei ole syytä ajaa asiakasohjelmaa, poista se. Asennettu asiakasohjelma on pysyvä kutsu seuraavalle päivitykselle kirjoittaa profiili uudelleen, ja seuraava henkilö selvittää saman katkoksen portaalista.

Ota levystä tilannekuva ennen kuin annat minkään kirjoittaa verkkoasetukset uudelleen, ja pidä toinen hallintareitti valmiina ennen kuin tarvitset sitä.

Kirjaa, mitä asentaja muutti: sovittimet, reitit, palomuuriprofiilit, suodatinajurit ja palvelut. Tämä kirjaus muuttaa seuraavan tapauksen tunnetuksi kaavaksi uuden tutkinnan sijaan. Kun VM tarvitsee tunnelin täsmälleen yhteen palveluun, laita asiakasohjelma työasemaasi tai rakenna toimipaikkojen välinen yhteys sen sijaan, että asentaisit palvelimelle kannettaville tarkoitetun tuotteen. Kuluttaja-asiakkaat on suunnattu kannettaville, eikä etänä hallitsemasi palvelin ole sellainen.