Cisco Secure Client חוסם VPN מהפעלת RDP

ההתחברות מצליחה והמנהרה בכל זאת לא עולה. השילוב הזה מבלבל אנשים מפני שהם קוראים אותו כבעיית אימות, ואז מבלים אחר צהריים באיפוס פרטי התחברות שמעולם לא היו הבעיה. Cisco Secure Client יכול לסרב להקים VPN בדיוק מפני שהניסיון הגיע מהפעלת Remote Desktop, וההחלטה הזו מתקבלת על ידי מדיניות בצד הלקוח.

איפה זה מופיע בזרימת החיבור

עברו על הלקוח מלמעלה. הפרופיל נטען, פרטי ההתחברות נאספים והאימות מסתיים. לאחר מכן, לפני שנבנית מנהרה כלשהי, הלקוח מעריך את הגדרות ההפעלה וההקמה שלו מול הסביבה שבה הוא נמצא.

רשמו שלושה דברים באותו רגע: הנוסח המדויק של ההודעה, גרסת הלקוח ושם הפרופיל המוצג בלקוח. השלושה הופכים תלונה מעורפלת לבקשת תמיכה שאפשר לפעול לפיה. צלמו את תיבת הדו-שיח, מפני שהודעות ארוכות נחתכות ביומן. רשמו גם את השעה, כדי שהמנהל יוכל להשוות אותה לשרת הראשי.

ההגדרה שמכריעה את זה בפועל

מדיניות Windows VPN Establishment היא הבקרה הרלוונטית, ויש לה שני ערכים מתועדים: משתמשים מקומיים בלבד, ואפשרות למשתמשים מרוחקים. השנייה מתירה להקים מנהרה מהפעלת Remote Desktop בתצורה נתמכת. הראשונה היא ברירת המחדל בהרבה פרופילי ארגון.

אל תבלבלו אותה עם Windows Logon Enforcement, שמדריך הפרופיל מתעד כמדיניות נפרדת בנושא הפעלות התחברות. האחת קובעת איזו הפעלה רשאית לבנות את המנהרה, השנייה קובעת התנהגות במקביל או לפני התחברות. שינוי השגויה אינו מפיק שום אפקט נראה.

קראו את הפרופיל שמיושם בפועל

בפריסה מנוהלת הלקוח מקבל את הפרופיל שלו מהשרת הראשי או ממיקום מנוהל, והעתק שנערך בדיסק אינו לעתים קרובות זה שבתוקף. לכן שינוי XML מקומי יכול להיראות נכון ולא לשנות דבר.

שאלו את המנהל איזה פרופיל ואיזו מדיניות קבוצה מקבל המכשיר, ולא איזה קובץ קיים במחשב הנייד. השניים לעתים קרובות אינם מתיישבים לאחר שדרוג גרסה. העתק ישן בתיקייה המקומית עדיין נפתח בעורך ועדיין נראה נכון. הוא פשוט לא מה שהלקוח יישם.

מסלול ה-RDP לאחר שהמנהרה עולה

התרת הקמה מרחוק אינה מבטיחה שהפעלת ה-Remote Desktop שלכם תשרוד. כשהמנהרה משנה מסלולים או כללי גישה מקומיים, ההפעלה שהכניסה אתכם פנימה עלולה לאבד את המסלול שמחזיק אותה.

תכננו ערוץ התאוששות לפני השינוי: גישה למסוף, מסלול ניהול מחוץ לפס, או נוהל התחברות מחדש מתועד. החלטה כזו בדיעבד פירושה בדרך כלל נסיעה אל המכונה.

אל תשתמשו בטריקים לגניבת הפעלות, בכלי שליטה מרחוק חלופיים או בסיסמה הכתובה בסקריפט כדי לעקוף את המדיניות. אם הארגון אינו מאשר את זרימת העבודה הזו, הצעד הנכון הוא מסלול הניהול שהוא כן תומך בו.

מה לשלוח למנהל

תנו לו את נוסח ההודעה, גרסת הלקוח, שם הפרופיל הפעיל, סוג ההפעלה שדרכה התחברתם, והאם ניסיון מהמסוף המקומי מתנהג אחרת. הוסיפו חותמת זמן.

דווקא ההשוואה האחרונה היא שחוסכת זמן, מפני שהיא מפרידה בין סירוב בשל מדיניות הפעלה לבין תקלה בכלל המכשיר.

אמתו לאחר שינוי מאושר

לאחר עדכון הפרופיל, הקימו הפעלת RDP חדשה והתחברו שוב, ואז עברו במכוון על רצף הניתוק. אשרו שהמנהרה עולה, שמסלול הניהול שורד ושהחשבון שלכם עדיין יכול להיכנס לשולחן העבודה.

קבלה ל-VPN, הישרדות ההפעלה והרשאת ההתחברות ל-Windows הם שלושה בדיקות נפרדות. מעבר באחת לא אומר דבר על השתיים האחרות.