Fierburo op ôfstân fia in VPN: yn hokker fout sitsto?

Dyn tunnel is oan, de ynterne wiki ladt en it fierburo op ôfstân wegert noch hieltyd te ferbinen. Dy kombinaasje is normaal, want de VPN jout in rûte nei de host, wylst de buorblêttsjinst harkje moat, troch syn eigen firewall tastien wurde moat en ree wêze moat it akkount te ferifisearjen. Fjouwer flaterstappen lizze tusken in wurkjende tunnel en in brûkbere sesje, en elk mislearret mei in oare melding. Lês earst de melding, want dy neamt de stap.

Fjouwer flaters dy't op ien lykje

De stappen binne oardere: de namme wurdt oplost nei it privee-adres dat it ûntwerp bedoelt, de poarte antwurdet op in TCP-hânskodding, de host akseptearret de ferbining neffens syn eigen belied, en de sesje-oanmelding slagget. Elke stap makket de folgjende net te testen, dêrom jout it feroarjen fan RDP-ynstellingen foardat it netwurk klear is allinnich lûd. It symptoom liket fan de brûker syn kant yn alle fjouwer gefallen itselde. Allinnich de melding fan de klant skiedt se.

In wurkjende ynterne webside bewiist net ien fan de fjouwer. It bewiist dat in host op itselde netwurk op in oare poarte mei in oare tsjinst antwurde. Beskôgje dat as bewiis oer rûtelegging en net mear.

Test yn folchoarder en skriuw it resultaat op. Springe nei it oanmeldskerm om't de poarte antwurde, is de manier om in middei te ferneatigjen oan in firewallprobleem dat de earste stap al fûn hie.

Harket der wat op 3389?

Begjin mei de namme, want in namme dy't nei it ferkearde adres oplost, makket elke lettere test ûnjildich. Freegje de oplosser fan de tunnel wat de namme betsjut, fergelykje dêrnei it antwurd mei it privee-adres dat it ûntwerp bedoelt, net mei in suksesfol antwurd. In namme dy't nei in iepenbier adres oplost, is it hiele probleem, en gjin inkele RDP-feroaring sil it reparearje:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Test dêrnei de poarte ynstee fan de host. In foltôge TCP-hânskodding op 3389 skiedt berikberens fan alles dêrboppe:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Fier dy test út fan it LAN en fan de tunnel, want in ferskil tusken de twa resultaten pleatst de flater op it VPN-paad. Twa firewalls lizze op it paad en se wurde maklik trochinoar helle: it netwurk moat it tunneladres fan de klant tastean de host te berikken, en de eigen firewall fan de host moat deselde boarne op 'e harkende poarte tastean. In regel dy't beheind is ta it LAN-subnet dekt de VPN-klantepoel net, en dat is de meast foarkommende oarsaak fan in time-out dêr't allinnich fierte brûkers oer rappoartsje. Kontrolearje it berik, net it bestean fan de regel.

It werompaad fertsjinnet deselde kontrôle. Antwurden hawwe in rûte werom nei de klantepoel nedich, net nei it LAN, en in oersetting foar de host feroaret de boarne dy't dyn log sjen sil. As de poarte ien kant op antwurdet en de oare kant net, is de ûntbrekkende helte meastentiids it werompaad.

Lês de melding foardatst de konfiguraasje lês

De tredde stap is de host dy't de ferbining neffens syn eigen belied wegeret, wat faak liket op in poarte dy't daliks iepenet en tichtgiet. Der antwurde wat, en dat is nuttige ynformaasje ynstee fan stilte. As de hânskodding foltôge is en de sesje gie daliks dea, dan is it netwurk goed en beslút de host. Sjoch nei de tastimmingen fan it fierburo foardatst it netwurk wer oanrekket.

De funksje kin foar de masine oan wêze wylst tagong beheind is ta bepaalde groepen, en de harker kin bûn wêze op manieren dy't it adres útslute dêr'tst op oankaamst. Ferifikaasje op netwurknivo foeget in poarte ta dy't mislearret foardat it buroblêd ladt, en syn flatetekst ferskilt fan in ferkeard wachtwurd. Fergelykje de melding fan de klant mei it barrenlog fan de host, want de melding neamt de poarte en it log it akkount.

Sesje-oanmelding is syn eigen grins

Ferifikaasje heart by de buorblêttsjinst, net by de VPN. De identiteit fan de tunnel en it buroblêd-akkount binne aparte bewiisstikken mei aparte blokkearbelied, dus in wurkjende tunnel bewiist allinnich dat de tunnel dy akseptearre. It buroblêd-akkount blokkearje fersteurt de tunnel net, en it oarsom is ek wier.

Hâld beide yntakt. As de privee-rûte ûntbrekt, reparearje de rûte, want de harker op it ynternet publisearje ruilet in berikberensflater foar in bleatsteld buroblêd. Ferswakje ek de identiteitskontrôles fan de sesje net om in sertifikaatswarskôging foarby te kommen dy't tagelyk ferskynde. In selsûndertekene sertifikaat op in RDP-harker jout by ûntwerp in warskôging, dus it akseptearjen is in beslút en net in stap.

Tel de pogingen foardatst wer besykest. Blokkearsslûpen fan it buroblêd telle mislearre oanmeldingen apart fan VPN-flaters, en in klant dy't op in timer wer besiket kin de slûpe oergean wylstst noch in regel bewurkest. Dat is itselde parallelle werbesykmechanisme dat akkounts blokkeart nei in wachtwurdferoaring.

Wat de sesje ferpleatse kin, en wêr't it bliuwt

Lear de goedkarde ôfmeldfolchoarder foardatst dy nedich hast. It finster slute kin allinnich it byld ôfbrekke wylst de sesje neffens syn konfigurearre belied trochrint, wat fan belang is op in dielde of auditearre host. Meld dy ôf fan binnen de sesje as it belied dat ferwachtet.

Beslút dêrnei wat de sesje drage mei, want klamboerd, trochwiisde skiven, printertrochwizing en bestânsoerdracht ferpleatse gegevens tusken de lokale en fiere systemen wêr't it belied dat tastiet. In publisearre applikaasje dy't oan de oare kant rint is net fansels in grins sûnder download, en in sesje dy't allinnich-lêze liket kin noch hieltyd in klamboerd drage. Test de echte taak ynstee fan de ferbining: iepje it bestân, brûk de applikaasje en befêstigje de trochwizing dy'tst nedich hast. De Microsoft-rjochtline oer it berikken fan in fierburo fan bûten beskriuwt de stipe bleatstellingsopsjes, en it is in bettere referinsje as in iepenbiere harker dy't ûnder druk tafoege is.