Leáll az RDP a VPN-kliens telepítése után? A tűzfal a hibás

Néhány perccel azután, hogy egy fogyasztói VPN-kliens befejezte a telepítést, a portál továbbra is azt mondja, hogy a VM fut, a nyilvános IP nem változott, és az RDP nem válaszol. Az emberek általában azt feltételezik, hogy a VM összeomlott vagy megváltozott a hálózati biztonsági csoport, és mindkettő általában téves. Ami megváltozott, az a Windows tűzfalprofil, amelyben a gép van, és az RDP-szabály, amely korábban illeszkedett, már nem illeszkedik. A javítás azzal kezdődik, hogy egy shellt szerzünk be egy olyan úton, amely nem függ az RDP-től.

A VM fut; a szabály már nem illeszkedik

A Windows tűzfalszabályai profilhalmazt hordoznak, és a Privát vagy Tartomány profilra korlátozott szabály nem hat, amíg a gép a Nyilvános profilban van. A VPN-telepítők adaptereket és útvonalakat adnak hozzá, és közülük több mellékhatásként megerősíti a Nyilvános profilt. A figyelő a 3389-hez kötve marad, és a csomagok továbbra is megérkeznek, de a profil eltérése eldobja őket.

Az energiaállapot és az elérhetőség külön tények, és egy futó VM zárt porttal kívülről pontosan úgy néz ki, mint egy összeomlott.

Vizsgálja meg a portot, mielőtt bármit módosítana. Egy 3389-re irányuló kapcsolódási kísérlet, amely időtúllépéssel végződik, miközben a vendégügynök parancsa még kimenetet ad, a gazdagép tűzfalára utal. Egy válaszoló port, miközben az RDP továbbra is meghiúsul, azt jelenti, hogy a hiba a hálózati réteg felett van, és ez a javítás nem nyúl hozzá. Jegyezze fel, melyik esetet látta, mert a terv többi része ettől függ.

Két kapu egymástól függetlenül zárul

Először a platform szabályzata fut: a hálózati biztonsági csoport a vendég előtt látja a csomagot. Ez a sorrend használhatatlanná tesz egy tökéletes NSG-bejegyzést, amikor a gazdagép eldobja a csomagot, és egy nyitott gazdagépszabályt, amikor a platform elutasítja. Kezelje őket külön kapuként, és mindegyiket külön tesztelje.

Olvassa el az NSG érvényes szabályait a portálon vagy a CLI-ben, majd hasonlítsa össze őket a vendég saját szabályaival. Ne feltételezze, hogy az utolsó emlékezett változás az, amely hatályba lépett.

A fogyasztói kliens szűrőillesztőt vagy kill switch-et is telepíthet, amely a Windows tűzfal alatt blokkolja a forgalmat. Ha a tűzfalszabályok helyesnek tűnnek, és a port továbbra is meghiúsul, a következő gyanúsított ez a réteg.

Használja a vendégügynököt a visszaútként

Két távoli végrehajtási funkció, a Run Command és a Custom Script Extension a vendégen belül fut a platform ügynökén keresztül. Egyik sem igényel RDP-t, így a tűzfal hibája nem érinti őket. Mindkettő visszaadja a szkript kimenetét, ami diagnosztikai és egyben javítási csatornává teszi őket.

Olvassa el az aktív profilt és az RDP-szabályt, mielőtt bármelyiket módosítaná:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

A bejövő szabályok újraengedélyezése azon a profilon átmeneti intézkedés, nem cél. Használja munkamenet szerzésére, majd zárja be rendesen a rést:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Az a kapcsoló a profil minden bejövő szabályát megnyitja, nem csak az RDP-t. Amint van munkamenete, cserélje le szűkített szabályra, és állítsa vissza a ténylegesen kívánt beállításokat. Ha az ügynök sem elérhető, a soros konzol vagy egy újraépített lemez a tartalék, és ez a gyakorlati ok arra, hogy az ügynököt egészségesen tartsa.

Szűkítse a rést, mielőtt bezárja a munkamenetet

Az ideiglenes profilváltozás egy ajtó, amelyet a profil minden bejövő szabálya előtt nyitva tartanak. Cserélje le a forrás címére és az RDP portra korlátozott szabállyal, majd erősítse meg, hogy a profil visszatért a szándékolt állapotba. Tegye ezt, amíg még megvan a munkamenet, mert a következő hiba talán nem visszafordítható távolról. A változtatás ideje alatt tartson készenlétben egy második felügyeleti utat, például a Bastiont vagy egy soros konzolt.

Erősítse meg az eredményt a munkaállomásáról egy portteszttel, és a vendég belsejéből a szabálylistával:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Kapcsolja be a tűzfal naplózását a teszt időtartamára. Egyetlen sor egy eldobott csomagról, amely megnevezi a 3389-et és az aktív profilt, gyorsabban válaszol a kérdésre, mint egy újabb újraindítás.

Akadályozza meg, hogy a következő telepítő megint megtegye

Ha annak a gazdagépnek nincs oka a kliens futtatására, távolítsa el. A telepített kliens állandó meghívás a következő frissítésnek a profil újraírására, és a következő ember ugyanazt a kiesést hibakeresi a portálról.

Készítsen pillanatképet a lemezről, mielőtt bármi felülírná a hálózati beállításokat, és tartson készen egy második felügyeleti utat, mielőtt szüksége lenne rá.

Jegyezze fel, mit módosított a telepítő: adapterek, útvonalak, tűzfalprofilok, szűrőillesztők és szolgáltatások. Ez a feljegyzés ismert mintává teszi a következő esetet új vizsgálat helyett. Amikor a VM-nek pontosan egy szolgáltatáshoz kell alagút, tegye a klienst a munkaállomására, vagy építsen telephelyek közötti kapcsolatot, ahelyett hogy laptopterméket telepítene a kiszolgálóra. A fogyasztói kliensek laptopokat céloznak, és egy távolról felügyelt kiszolgáló nem az.