שולחן עבודה מרוחק דרך VPN: באיזה כשל אתם נמצאים?

המנהרה שלכם פעילה, הוויקי הפנימי נטען, ושולחן העבודה המרוחק עדיין מסרב להתחבר. השילוב הזה נורמלי, כי ה-VPN מספק מסלול אל המארח בעוד ששירות שולחן העבודה חייב להאזין, להיות מורשה על ידי חומת האש שלו עצמו, ולהיות מוכן לאמת את החשבון. ארבעה שלבי כשל נמצאים בין מנהרה עובדת לבין הפעלה שמישה, וכל אחד נכשל בהודעה אחרת. קראו קודם את ההודעה, כי היא נוקבת בשם השלב.

ארבעה כשלים שנראים כאחד

השלבים מסודרים: השם נפתר לכתובת הפרטית שהתכנון מתכוון אליה, הפורט עונה ללחיצת יד TCP, המארח מקבל את החיבור לפי המדיניות שלו, והכניסה להפעלה מצליחה. כל שלב הופך את הבא אחריו לבלתי ניתן לבדיקה, ולכן שינוי הגדרות RDP לפני שהרשת מסודרת יוצר רק רעש. התסמין נראה זהה מצד המשתמש בכל ארבעת המקרים. רק ההודעה של הלקוח מפרידה ביניהם.

אתר פנימי שעובד אינו מוכיח אף אחד מהארבעה. הוא מוכיח שמארח באותה רשת ענה בפורט אחר בשירות אחר. התייחסו לזה כראיה על ניתוב ולא יותר.

בדקו לפי הסדר ורשמו את התוצאה. קפיצה למסך הכניסה מפני שהפורט ענה היא הדרך לבזבז אחר צהריים על בעיית חומת אש שהצעד הראשון כבר איתר.

האם משהו מאזין בפורט 3389?

התחילו בשם, כי שם שנפתר לכתובת שגויה מבטל כל בדיקה מאוחרת. שאלו את פותר המנהרה מה משמעות השם, ואז השוו את התשובה לכתובת הפרטית שהתכנון מתכוון אליה, ולא לתגובה מוצלחת. שם שנפתר לכתובת ציבורית הוא כל הבעיה, ושום שינוי ב-RDP לא יתקן אותה:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

אחר כך בדקו את הפורט ולא את המארח. לחיצת יד TCP שהושלמה בפורט 3389 מפרידה בין נגישות לבין כל מה שמעליה:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

הריצו את הבדיקה מהרשת המקומית ומהמנהרה, כי הבדל בין שתי התוצאות ממקם את התקלה במסלול ה-VPN. שתי חומות אש נמצאות במסלול וקל לבלבל ביניהן: הרשת חייבת להתיר לכתובת המנהרה של הלקוח להגיע למארח, וחומת האש של המארח עצמו חייבת להתיר את אותו מקור בפורט המאזין. כלל שמוגבל לתת-רשת המקומית אינו מכסה את מאגר לקוחות ה-VPN, וזו הסיבה הנפוצה ביותר לפסק זמן שרק משתמשים מרוחקים מדווחים עליו. בדקו את ההיקף ולא את קיומו של הכלל.

מסלול החזרה ראוי לאותה בדיקה. תשובות זקוקות למסלול חזרה אל מאגר הלקוחות ולא אל הרשת המקומית, ותרגום מול המארח משנה את המקור שהלוג שלכם יציג. אם הפורט עונה בכיוון אחד ולא בכיוון השני, החצי החסר הוא בדרך כלל מסלול החזרה.

קראו את ההודעה לפני שאתם קוראים את התצורה

השלב השלישי הוא המארח שמסרב לחיבור לפי המדיניות שלו, ולעתים קרובות זה נראה כמו פורט שנפתח ונסגר מיד. משהו ענה, וזה מידע שימושי ולא שתיקה. אם לחיצת היד הושלמה וההפעלה מתה מיד, הרשת תקינה והמארח הוא שמחליט. עיינו בהרשאות של שולחן עבודה מרוחק לפני שנוגעים שוב ברשת.

התכונה יכולה להיות מופעלת למחשב בעוד הגישה מוגבלת לקבוצות מסוימות, והמאזין יכול להיות כרוך בדרכים שמוציאות את הכתובת שממנה הגעתם. אימות ברמת הרשת מוסיף שער שנכשל לפני ששולחן העבודה נטען, וטקסט השגיאה שלו שונה מסיסמה שגויה. השוו את ההודעה של הלקוח ליומן האירועים של המארח, כי ההודעה נוקבת בשער והיומן בחשבון.

הכניסה להפעלה היא גבול בפני עצמו

האימות שייך לשירות שולחן העבודה, לא ל-VPN. זהות המנהרה וחשבון שולחן העבודה הם אישורים נפרדים עם מדיניות נעילה נפרדות, ולכן מנהרה עובדת מוכיחה רק שהמנהרה קיבלה אתכם. נעילת חשבון שולחן העבודה אינה מפריעה למנהרה, וההפך נכון גם כן.

שמרו על שניהם שלמים. כשמסלול פרטי חסר, תקנו את המסלול, כי פרסום המאזין לאינטרנט מחליף תקלת נגישות בשולחן עבודה חשוף. אל תחלישו גם את בדיקות הזהות של ההפעלה כדי לעבור אזהרת תעודה שהופיעה באותו זמן. תעודה בחתימה עצמית על מאזין RDP מייצרת אזהרה מלכתחילה, ולכן קבלתה היא החלטה ולא צעד.

ספרו את הניסיונות לפני ניסיון חוזר. ספי הנעילה של שולחן העבודה סופרים כניסות כושלות בנפרד מכשלי VPN, ולקוח שמנסה שוב לפי טיימר עלול לחצות את הסף בזמן שאתם עדיין עורכים כלל. זהו אותו מנגנון ניסיונות חוזרים במקביל שנועל חשבונות אחרי שינוי סיסמה.

מה ההפעלה יכולה להעביר, ואיפה זה נשאר

למדו את תהליך היציאה המאושר לפני שתזדקקו לו. סגירת החלון עשויה רק לנתק את התצוגה בעוד ההפעלה ממשיכה לרוץ לפי המדיניות שהוגדרה, וזה חשוב במארח משותף או מבוקר. צאו מתוך ההפעלה כשהמדיניות מצפה לכך.

אחר כך החליטו מה ההפעלה רשאית לשאת, כי לוח העריכה, כוננים מנותבים, ניתוב מדפסת והעברת קבצים מעבירים נתונים בין המערכות המקומית והמרוחקת היכן שהמדיניות מתירה. יישום מפורסם שרץ בצד השני אינו אוטומטית גבול ללא הורדה, והפעלה שנראית לקריאה בלבד עדיין יכולה לשאת לוח עריכה. בדקו את המשימה האמיתית ולא את החיבור: פתחו את הקובץ, השתמשו ביישום ואשרו את הניתוב שאתם צריכים. ההנחיה של Microsoft להגעה לשולחן עבודה מרוחק מבחוץ מתארת את אפשרויות החשיפה הנתמכות, והיא מקור טוב יותר ממאזין ציבורי שנוסף תחת לחץ.