Miksi RDP jäätyy, kun etätietokone yhdistää VPN:ään

Olet RDP-ikkunan sisällä, työpöytä on ruudulla ja painat Connect VPN-asiakasohjelmassa, joka pyörii sillä etäkoneella. Sekunteja myöhemmin ikkuna jäätyy ja sulkeutuu sitten. Tunneli nousi, juuri sen VPN-loki raportoi, ja se on koko tapauksen vähiten hyödyllinen tosiasia. Istunto kuoli, koska kone, jonka kanssa puhuit, muutti tapaansa vastata sinulle, joten käy paluupolku läpi ennen kuin kosket tunneliin.

Kirjaa päätepiste, jota istuntosi todella käyttää

RDP-asiakasohjelmaan kirjoitettu osoite ei välttämättä ole se osoite, johon etätietokone vastaa. NAT, RD Gateway tai isäntäkoneen edessä oleva kuormantasaaja voivat kirjoittaa sen uudelleen, ja paluupolun määrää se lähdeosoite, jonka etäkone näkee muodostetulla yhteydellä. Jos teet tässä virheen, etsit reittiä, joka ei ollut koskaan mukana.

Etätietokoneella, ennen kuin VPN on yhdistetty, listaa muodostetut istunnot ja lue vastapuolen osoite taulukosta. Kirjaa se sitten jonnekin tuon koneen ulkopuolelle, koska et voi lukea sitä enää istunnon pudottua.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Kohtele tuota osoitetta asiana, jonka on pysyttävä saavutettavana. Jos se on yksityinen osoite hallinta-VLANissa, tunnelin on jätettävä se polku rauhaan. Jos se on julkinen osoite, vastauksen on lähdettävä samasta rajapinnasta, joka toi pyynnön sisään.

Lue reitti, joka vastaa tuohon päätepisteeseen

Windows valitsee rajapinnan kohdetta kohden, ja Find-NetRoute näyttää päätöksen, jonka se tekisi juuri nyt. Aja se vastapuolen osoitteelle ennen yhdistämistä, sitten uudelleen tunneli ylhäällä, ja vertaa rajapinnan indeksiä ja seuraavaa hyppyä kahdessa vastauksessa. Rajapinnan vaihtuminen on koko vika yhdellä tulostusrivillä.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Täystunnelin profiili asentaa oletusreitin tunnelin läpi, kuten Windowsin VPN-reititysopas kuvaa, joten jokainen vastaus lähtee nyt VPN:n kautta ja riippuu siitä, reitittääkö toinen puoli takaisin asiakasohjelmaasi. Jaetun tunnelin profiili on oletuksena turvallisempi mutta ei immuuni, koska vastapuolen osoitteen kattava tarkka reitti voi silti voittaa fyysisen oletusreitin. Joka tapauksessa kysymys on sama: kun tunneli nousee, ratkeaako vastapuolen osoite yhä sille rajapinnalle, joka toi istunnon sisään?

Jos ei, korjaus kuuluu profiiliin tai VPN-käytännön omistajan hyväksymään nimenomaiseen poikkeusreittiin. Reititystaulukon muokkaaminen käsin tuotantoisännällä kesken tapauksen on tapa, jolla väliaikaisesta kiertotiestä tulee dokumentoimaton konfiguraatio.

Seuraa palomuuriprofiilin muutosta

Uusi rajapinta luokitellaan sen ilmestyessä, ja luokittelu päättää, mitä palomuuriprofiilia vasten sen liikennettä arvioidaan. Public-luokkaan päätyvä tunnelisovitin voi hiljaa pysäyttää saapuvan RDP:n, vaikka reititystaulukko näyttää täydelliseltä. Se on toinen vikatila, ja se tuottaa erilaisen oireen: reitti on oikea, paketit saapuvat ja isäntä hylkää yhteyden.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Vertaa tunnelirajapintaan liitettyä profiilia niihin profiileihin, joihin Remote Desktop -säännöt on rajattu. Vain Domainille ja Privatelle käytössä oleva sääntö ei tee mitään Public-luokitellulle rajapinnalle, eikä mikään reittikorjaus muuta sitä. Jotkin VPN-asiakasohjelmat myös rajoittavat pääsyä paikalliseen aliverkkoon suunnittelultaan, mikä tuottaa saman vikamuodon toisesta mekanismista.

Testaa siirtymä paikasta, josta voit palautua

Tee koko sarja ulkoisen konsolin tai toisen hallintapolun kautta tässä järjestyksessä: vahvista nykyinen istunto, yhdistä VPN, avaa uusi istunto, sitten katkaise VPN ja avaa vielä yksi. Jokainen vaihe testaa eri siirtymää, ja ensimmäinen epäonnistuva kertoo, mikä mekanismi on vastuussa.

Ajoita palautus ennen aloitusta, esimerkiksi ajastettu tehtävä, joka suorittaa rasdial "Work VPN" /disconnect määritetyn väliajan jälkeen. Se muuttaa menetetyn istunnon viiden minuutin keskeytykseksi käynnin sijaan, ja se on koko menettelyn halvin vakuutus.

Pääse takaisin sisään, kun istunto on jo poissa

Jos isäntä on jo tavoittamaton, lopeta uusien RDP-yhteyksien yrittäminen samasta asiakasohjelmasta ja käytä palautuskanavaa, joka ympäristöllä jo on: RD Gateway, hypervisor-konsoli tai ulkoinen hallintarajapinta. Pyydä konsoliin pääsyä omaavaa henkilöä ajamaan samat komennot Find-NetRoute ja Get-NetConnectionProfile, jotta todisteet säilyvät palautuksen yli.

Päätä sitten pysyvä ratkaisu, älä nopeinta. Joko hallintapolku säilytetään nimenomaisesti VPN-profiililla, tai hallinta siirretään kanavalle, joka ei riipu isännän oletusreitistä. Molemmat ovat perusteltavissa; isäntäreitti arvatulla yhdyskäytävällä ei ole. Kirjoita, kumman valitsit, ja kirjaa vastapuolen osoite, jonka oli selvittävä.