जब रिमोट कंप्यूटर VPN से जुड़ता है तो RDP क्यों जम जाता है

आप RDP विंडो के अंदर हैं, डेस्कटॉप स्क्रीन पर है, और उस रिमोट मशीन पर चल रहे VPN क्लाइंट में Connect दबाते हैं। कुछ सेकंड बाद विंडो जम जाती है और फिर बंद हो जाती है। टनल ऊपर आ गई, VPN लॉग ठीक यही दर्ज करेगा, और यही पूरी घटना का सबसे कम उपयोगी तथ्य है। सत्र इसलिए मर गया क्योंकि जिस मशीन से आप बात कर रहे थे उसने आपको जवाब देने का तरीका बदल दिया, इसलिए टनल को छूने से पहले वापसी मार्ग जाँचें।

वह एंडपॉइंट दर्ज करें जो आपका सत्र वास्तव में इस्तेमाल करता है

आपके RDP क्लाइंट में लिखा पता ज़रूरी नहीं कि वही पता हो जिस पर रिमोट कंप्यूटर जवाब देता है। NAT, RD Gateway या होस्ट के सामने का लोड बैलेंसर उसे फिर से लिख सकते हैं, और वापसी मार्ग वह स्रोत पता तय करता है जो रिमोट मशीन स्थापित कनेक्शन पर देखती है। यहाँ गलती करने पर आप ऐसे रूट की तलाश में जाएँगे जो कभी शामिल ही नहीं था।

रिमोट कंप्यूटर पर, VPN जुड़ने से पहले, स्थापित सत्रों की सूची बनाएँ और तालिका से पीयर पता पढ़ें। फिर उसे उस मशीन के बाहर कहीं लिख लें, क्योंकि सत्र गिरने के बाद आप उसे नहीं पढ़ पाएँगे।

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

उस पते को ऐसी चीज़ मानें जो पहुँच में बनी रहनी चाहिए। अगर यह प्रबंधन VLAN पर निजी पता है, तो टनल को उस मार्ग को अकेला छोड़ना होगा। अगर यह सार्वजनिक पता है, तो जवाब उसी इंटरफ़ेस से बाहर जाना चाहिए जो अनुरोध को अंदर लाया था।

उस एंडपॉइंट का जवाब देने वाला रूट पढ़ें

Windows हर गंतव्य के लिए एक इंटरफ़ेस चुनता है, और Find-NetRoute अभी जो निर्णय लेता वह दिखाता है। कनेक्ट करने से पहले इसे पीयर पते पर चलाएँ, फिर टनल ऊपर होने पर दोबारा, और दोनों जवाबों में इंटरफ़ेस इंडेक्स और अगले हॉप की तुलना करें। इंटरफ़ेस बदलना ही आउटपुट की एक पंक्ति में पूरा बग है।

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

फुल-टनल प्रोफ़ाइल टनल के रास्ते डिफ़ॉल्ट रूट स्थापित करता है, जैसा Windows का VPN रूटिंग गाइड बताता है, इसलिए अब हर जवाब VPN से बाहर जाता है और इस पर निर्भर करता है कि दूसरा पक्ष आपके क्लाइंट तक वापस रूट करता है या नहीं। स्प्लिट-टनल प्रोफ़ाइल डिफ़ॉल्ट रूप से अधिक सुरक्षित है पर प्रतिरक्षित नहीं, क्योंकि पीयर पता कवर करने वाला कोई विशिष्ट रूट अब भी भौतिक डिफ़ॉल्ट रूट को हरा सकता है। किसी भी हाल में सवाल एक ही है: टनल ऊपर आने के बाद क्या पीयर पता अब भी उसी इंटरफ़ेस पर हल होता है जो सत्र को अंदर लाया था?

अगर नहीं, तो सुधार प्रोफ़ाइल में या VPN नीति के मालिक द्वारा मंज़ूर स्पष्ट अपवाद रूट में जाता है। घटना के दौरान प्रोडक्शन होस्ट पर हाथ से रूटिंग तालिका संपादित करना ही वह तरीका है जिससे अस्थायी उपाय बिना दस्तावेज़ वाला कॉन्फ़िगरेशन बन जाता है।

फ़ायरवॉल प्रोफ़ाइल का बदलाव देखें

नया इंटरफ़ेस दिखते ही वर्गीकृत होता है, और वर्गीकरण तय करता है कि उसका ट्रैफ़िक किस फ़ायरवॉल प्रोफ़ाइल के हिसाब से आँका जाएगा। Public श्रेणी में आने वाला टनल एडाप्टर रूटिंग तालिका सही दिखने पर भी आने वाले RDP को चुपचाप रोक सकता है। यह दूसरा विफलता मोड है, और यह अलग लक्षण देता है: रूट सही है, पैकेट आ रहे हैं, और होस्ट कनेक्शन ठुकरा देता है।

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

टनल इंटरफ़ेस से जुड़ी प्रोफ़ाइल की तुलना उन प्रोफ़ाइलों से करें जिन पर Remote Desktop नियम लक्षित हैं। जो नियम केवल Domain और Private के लिए सक्षम है वह Public के रूप में वर्गीकृत इंटरफ़ेस के लिए कुछ नहीं करता, और कोई रूट सुधार इसे नहीं बदलता। कुछ VPN क्लाइंट डिज़ाइन से स्थानीय सबनेट तक पहुँच भी सीमित करते हैं, जो किसी दूसरे नियंत्रण से वही विफलता आकार पैदा करता है।

बदलाव किसी ऐसी जगह से जाँचें जहाँ से आप वापस आ सकें

पूरा क्रम आउट-ऑफ़-बैंड कंसोल या दूसरे प्रबंधन मार्ग से इस क्रम में करें: मौजूदा सत्र की पुष्टि करें, VPN जोड़ें, नया सत्र खोलें, फिर VPN काटें और एक और खोलें। हर चरण अलग बदलाव जाँचता है, और जो पहले विफल हो वही बताता है कि कौन-सा नियंत्रण ज़िम्मेदार है।

शुरू करने से पहले ही रोलबैक तय करें, जैसे कोई निर्धारित कार्य जो तय अंतराल के बाद rasdial "Work VPN" /disconnect चलाए। यह खोए हुए सत्र को साइट पर जाने के बजाय पाँच मिनट के व्यवधान में बदल देता है, और पूरी प्रक्रिया में यही सबसे सस्ता बीमा है।

जब सत्र पहले ही जा चुका हो तब वापस अंदर आएँ

अगर होस्ट पहले से पहुँच से बाहर है, तो उसी क्लाइंट से नए RDP कनेक्शन की कोशिश बंद करें और वातावरण के पास पहले से मौजूद रिकवरी चैनल इस्तेमाल करें: RD Gateway, हाइपरवाइज़र कंसोल, या आउट-ऑफ़-बैंड प्रबंधन इंटरफ़ेस। कंसोल पहुँच वाले व्यक्ति से वही कमांड Find-NetRoute और Get-NetConnectionProfile चलाने को कहें, ताकि सबूत रिकवरी के बाद भी टिके रहें।

फिर सबसे तेज़ नहीं, स्थायी व्यवस्था तय करें। या तो VPN प्रोफ़ाइल प्रबंधन मार्ग को स्पष्ट रूप से सुरक्षित रखता है, या प्रबंधन ऐसे चैनल पर चला जाता है जो होस्ट के डिफ़ॉल्ट रूट पर निर्भर न हो। दोनों टिकाऊ हैं; अनुमानित गेटवे वाला होस्ट रूट नहीं। लिखें कि आपने कौन-सा चुना, और उस पीयर पते को दर्ज करें जिसे बचना था।