Etätyöpöytä VPN:n kautta: missä vikatilassa olet?

Tunnelisi on pystyssä, sisäinen wiki latautuu ja etätyöpöytä kieltäytyy silti yhdistämästä. Yhdistelmä on normaali, koska VPN antaa reitin isäntäkoneelle, kun taas työpöytäpalvelun on kuunneltava, oman palomuurinsa sallittava ja haluttava todentaa tili. Toimivan tunnelin ja käyttökelpoisen istunnon välissä on neljä vikatilaa, ja jokainen epäonnistuu eri viestillä. Lue viesti ensin, sillä se nimeää vaiheen.

Neljä vikaa, jotka näyttävät yhdeltä

Vaiheet ovat järjestyksessä: nimi selvitetään yksityisosoitteeksi, jonka suunnittelu on tarkoittanut, portti vastaa TCP-kättelyyn, isäntäkone hyväksyy yhteyden oman käytäntönsä mukaan ja istunnon kirjautuminen onnistuu. Jokainen vaihe tekee seuraavasta testaamattoman, minkä vuoksi RDP-asetusten muuttaminen ennen verkon vakiintumista tuottaa vain kohinaa. Oire näyttää käyttäjän puolelta samalta kaikissa neljässä tapauksessa. Vain asiakkaan viesti erottaa ne.

Toimiva sisäinen verkkosivusto ei todista yhtäkään neljästä. Se todistaa, että saman verkon isäntäkone vastasi toisessa portissa toisella palvelulla. Pidä sitä todisteena reitityksestä eikä muusta.

Testaa järjestyksessä ja kirjoita tulos muistiin. Kirjautumisnäyttöön hyppääminen siksi, että portti vastasi, on tapa viettää iltapäivä palomuuriongelman parissa, jonka ensimmäinen vaihe oli jo paikallistanut.

Kuunteleeko jokin porttia 3389?

Aloita nimestä, koska väärään osoitteeseen selviävä nimi tekee kaikista myöhemmistä testeistä mitättömiä. Kysy tunnelin selvittäjältä, mitä nimi tarkoittaa, ja vertaa sitten vastausta yksityisosoitteeseen, jonka suunnittelu on tarkoittanut, älä onnistuneeseen vastaukseen. Julkiseen osoitteeseen selviävä nimi on koko ongelma, eikä mikään RDP-muutos korjaa sitä:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Testaa sitten porttia, älä isäntäkonetta. Valmis TCP-kättely portissa 3389 erottaa tavoitettavuuden kaikesta sen yläpuolella:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Suorita testi LAN-verkosta ja tunnelista, koska kahden tuloksen ero paikantaa vian VPN-reitille. Reitillä on kaksi palomuuria ja ne sekoittuvat helposti: verkon on sallittava asiakkaan tunneliosoitteen päästä isäntäkoneelle, ja isäntäkoneen oman palomuurin on sallittava sama lähde kuunteluportissa. LAN-aliverkkoon rajattu sääntö ei kata VPN-asiakaspoolia, ja se on yleisin syy aikakatkaisuun, josta vain etäkäyttäjät raportoivat. Tarkista säännön laajuus, ei sen olemassaoloa.

Paluureitti ansaitsee saman tarkistuksen. Vastaukset tarvitsevat reitin takaisin asiakaspooliin eikä LAN-verkkoon, ja isäntäkoneen edessä oleva käännös muuttaa lähteen, jonka lokisi näyttää. Jos portti vastaa yhteen suuntaan eikä toiseen, puuttuva puolisko on yleensä paluureitti.

Lue viesti ennen kuin luet kokoonpanon

Kolmas vaihe on isäntäkone, joka hylkää yhteyden oman käytäntönsä mukaan, mikä näyttää usein portilta, joka avautuu ja sulkeutuu heti. Jokin vastasi, ja se on hyödyllistä tietoa eikä hiljaisuutta. Jos kättely valmistui ja istunto kuoli heti, verkko on kunnossa ja isäntäkone päättää. Katso etätyöpöydän käyttöoikeudet ennen kuin kosket verkkoon uudelleen.

Ominaisuus voi olla käytössä koneelle, kun pääsy on rajoitettu tiettyihin ryhmiin, ja kuuntelija voi olla sidottu tavalla, joka sulkee pois osoitteen, josta saavuit. Verkkotason todentaminen lisää portin, joka epäonnistuu ennen työpöydän latautumista, ja sen virheteksti eroaa väärästä salasanasta. Vertaa asiakkaan viestiä isäntäkoneen tapahtumalokiin, koska viesti nimeää portin ja loki tilin.

Istunnon kirjautuminen on oma rajansa

Todentaminen kuuluu työpöytäpalvelulle, ei VPN:lle. Tunnelin identiteetti ja työpöytätili ovat erillisiä tunnuksia, joilla on erilliset lukituskäytännöt, joten toimiva tunneli todistaa vain, että tunneli hyväksyi sinut. Työpöytätilin lukitseminen ei häiritse tunnelia, ja päinvastoin on myös totta.

Pidä molemmat ehjinä. Kun yksityinen reitti puuttuu, korjaa reitti, koska kuuntelijan julkaiseminen internetiin vaihtaa tavoitettavuusvirheen paljastettuun työpöytään. Älä myöskään heikennä istunnon identiteettitarkistuksia päästäksesi ohi samaan aikaan ilmestyneestä varmennevaroituksesta. Itse allekirjoitettu varmenne RDP-kuuntelijassa tuottaa varoituksen suunnittelun mukaan, joten sen hyväksyminen on päätös, ei vaihe.

Laske yritykset ennen uudelleenyritystä. Työpöydän lukituskynnykset laskevat epäonnistuneet kirjautumiset erikseen VPN-virheistä, ja ajastimella uudelleen yrittävä asiakas voi ylittää kynnyksen, kun vielä muokkaat sääntöä. Se on sama rinnakkaisten uudelleenyritysten mekanismi, joka lukitsee tilit salasanan vaihdon jälkeen.

Mitä istunto voi siirtää ja mihin se jää

Opi hyväksytty uloskirjautumisen työnkulku ennen kuin tarvitset sitä. Ikkunan sulkeminen voi irrottaa vain näkymän, kun istunto jatkaa toimintaansa määritetyn käytäntönsä mukaan, millä on merkitystä jaetulla tai auditoidulla isäntäkoneella. Kirjaudu ulos istunnon sisältä, kun käytäntö sitä odottaa.

Päätä sitten, mitä istunto saa kuljettaa, koska leikepöytä, uudelleenohjatut asemat, tulostimen uudelleenohjaus ja tiedostonsiirto siirtävät tietoa paikallisen ja etäjärjestelmän välillä siellä, missä käytäntö sallii. Toisella puolella ajettava julkaistu sovellus ei ole automaattisesti ilman latausta oleva raja, ja vain luku -näköinen istunto voi silti kuljettaa leikepöytää. Testaa todellinen tehtävä, älä yhteyttä: avaa tiedosto, käytä sovellusta ja vahvista tarvitsemasi uudelleenohjaus. Microsoftin ohje etätyöpöydän saavuttamiseen ulkopuolelta kuvaa tuetut paljastusvaihtoehdot, ja se on parempi lähde kuin paineen alla lisätty julkinen kuuntelija.