RDP stoppet nei it ynstallearjen fan in VPN-klant? De firewall is de skuld

In pear minuten neidat in ferbrûkers-VPN-klant klear is mei ynstallearjen, seit it portaal noch altyd dat de VM draait, it publike IP is net feroare, en RDP antwurdet net. Minsken nimme oan dat de VM crasht is of dat de netwurkfeiligensgroep feroare is, en beide binne meastentiids ferkeard. Wat feroare is, is it Windows-firewallprofyl dêr’t de masine yn stiet, en de RDP-regel dy’t earder paste, past no net mear. De reparaasje begjint mei it krijen fan in shell fia in paad dat net fan RDP ôfhinget.

De VM draait; de regel past net mear

Firewallregels yn Windows drage in profylset, en in regel dy’t beheind is ta Privee of Domein hat gjin effekt salang’t de masine op it Publike profyl stiet. VPN-ynstallearders foegje adapters en rûtes ta, en ferskate fan har fersterkje it Publike as byeffekt. De harker bliuwt bûn oan 3389 en de pakketten komme noch altyd oan, mar de profylôfwiking smyt se fuort.

Enerzjytastân en berikberens binne aparte feiten, en in draaiende VM mei in sletten poarte liket fan bûten krekt as ien dy’t crasht is.

Test de poarte foardat jo eat feroarje. In ferbiningspoging nei 3389 dy’t yn in time-out rint wylst in opdracht fan de gastagint noch útfoer jout, wiist op de firewall fan de host. In poarte dy’t antwurdet wylst RDP noch mislearret, betsjut dat de flater boppe de netwurklaach sit, en dizze reparaasje sil it net reitsje. Noatearje hokker fan de twa gefallen jo seagen, want de rest fan it plan hinget dêrfan ôf.

Twa poarten slute ûnôfhinklik

It platfoarmbelied rint earst: de netwurkfeiligensgroep sjocht it pakket foar de gast. Dy folchoarder makket in perfekte NSG-ynfier nutteloas as de host it pakket fuortsmyt, en in iepen hostregel nutteloas as it platfoarm dy wegeret. Behannelje se as aparte poarten en test elk op himsels.

Lês de effektive regels fan de NSG yn it portaal of de CLI, en fergelykje se dêrnei mei de eigen regels fan de gast. Nim net oan dat de lêste feroaring dy’t jo jo hâlde, dejinge is dy’t fan krêft wurden is.

In ferbrûkersklant kin ek in filterstjoerder of in kill switch ynstallearje dy’t ferkear ûnder de Windows-firewall blokkearret. As de firewallregels goed lykje en de poarte noch mislearret, is dy laach de folgjende fertochte.

Brûk de gastagint as jo paad werom

Twa funksjes foar op ôfstân útfiere, Run Command en de Custom Script Extension, rinne yn de gast fia de platfoarmagint. Gjin fan beide hat RDP nedich, dat de firewallflater hat gjin ynfloed op har. Beide jouwe de útfoer fan it skript werom, wat har in diagnostyk kanaal en tagelyk in reparaasjekanaal makket.

Lês it aktive profyl en de RDP-regel foardat jo ien fan beide feroarje:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Ynkommende regels op dat profyl wer ynskeakelje is in tydlike maatregel, net in bestimming. Brûk it om in sesje te krijen en slút dêrnei de gat goed:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Dy skeakel iepenet elke ynkommende regel fan it profyl, net allinnich RDP. As jo in sesje hawwe, ferfange dy dan troch in beheinde regel en set de ynstellingen werom dy’t jo echt wolle. As de agint ek net beskikber is, is in seriële konsole of in werboude skiif de fallback, en dat is de praktyske reden om de agint sûn te hâlden.

Fersmelle it gat foardat jo de sesje slute

De tydlike profylferoaring is in doar dy’t iepen holden wurdt foar elke ynkommende regel fan dat profyl. Ferfange dy troch in regel dy’t beheind is ta jo boarneadres en de RDP-poarte, en befêstigje dêrnei dat it profyl werom is yn syn bedoelde steat. Doch dit wylst jo de sesje noch hawwe, want de folgjende flater is miskien net op ôfstân werom te draaien. Hâld in twadde bestjoerlik paad, lykas Bastion of in seriële konsole, by de hân ûnder de feroaring.

Befêstigje it resultaat fan jo wurkstasjon mei in poartetest, en fan binnen de gast mei de regellist:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Sette firewalllogging oan foar de doer fan de test. Ien rigel oer in fuortsmiten pakket dy’t 3389 en it aktive profyl neamt, beantwurdet de fraach rapper as noch in reboot.

Foarkom dat de folgjende ynstallearder it wer docht

As dy host gjin reden hat om de klant te draaien, deynstallearje dy dan. In ynstallearre klant is in steande útnûging foar de folgjende update om it profyl wer oer te skriuwen, en de folgjende persoan sil deselde útlitting fan it portaal ôf debugge.

Nim in snapshots fan de skiif foardat jo eat netwurkinsstellingen oerskriuwe litte, en hâld in twadde bestjoerlik paad klear foardat jo it nedich hawwe.

Noatearje wat de ynstallearder feroare hat: adapters, rûtes, firewallprofylen, filterstjoerders en tsjinsten. Dat register makket it folgjende ynsidint in bekend patroan ynstee fan in nij ûndersyk. As de VM in tunnel nei krekt ien tsjinst nedich hat, set de klant dan op jo wurkstasjon of bou in ferbining tusken sites ynstee fan in produkt foar laptops op de server te ynstallearjen. Ferbrûkersklanten rjochtsje har op laptops, en in server dy’t jo op ôfstân beheare is dat net.