RDP-ը կանգ է առնում VPN հաճախորդի տեղադրումից հետո? Մեղավորը բրենդմաուերն է

Սպառողական VPN հաճախորդի տեղադրումն ավարտվելուց մի քանի րոպե անց պորտալը դեռ ասում է, որ VM-ն աշխատում է, հանրային IP-ն չի փոխվել, և RDP-ն չի պատասխանում։ Մարդիկ սովորաբար ենթադրում են, որ VM-ն ընկել է կամ ցանցային անվտանգության խումբը փոխվել է, և երկուսն էլ սովորաբար սխալ են։ Փոխվել է այն Windows-ի բրենդմաուերի պրոֆիլը, որում գտնվում է մեքենան, և RDP-ի կանոնը, որը նախկինում համընկնում էր, այլևս չի համընկնում։ Վերանորոգումը սկսվում է shell ստանալով այնպիսի ուղով, որը կախված չէ RDP-ից։

VM-ն աշխատում է, կանոնը դադարել է համընկնել

Windows-ում բրենդմաուերի կանոնները կրում են պրոֆիլների հավաքածու, և Մասնավոր կամ Դոմեն պրոֆիլով սահմանափակված կանոնը որևէ ազդեցություն չունի, քանի դեռ մեքենան գտնվում է Հանրային պրոֆիլում։ VPN-ի տեղադրիչները ավելացնում են ադապտերներ և երթուղիներ, և դրանցից շատերը կողմնակի ազդեցությամբ խստացնում են Հանրայինը։ Լսորդը մնում է կապված 3389-ին, և փաթեթները դեռ հասնում են, բայց պրոֆիլի անհամապատասխանությունը դեն է նետում դրանք։

Սնուցման վիճակը և հասանելիությունը առանձին փաստեր են, և փակ պորտով աշխատող VM-ն դրսից նույն տեսքն ունի, ինչ ընկածը։

Ստուգեք պորտը նախքան որևէ բան փոխելը։ 3389-ին միանալու փորձը, որը ժամանակային սահմանի է հասնում, մինչ հյուրի գործակալի հրամանը դեռ ելք է վերադարձնում, մատնանշում է հոսթի բրենդմաուերին։ Պորտը պատասխանում է, բայց RDP-ն դեռ ձախողվում է, ինչը նշանակում է, որ խափանումը ցանցային շերտից վերև է, և այս վերանորոգումը չի դիպչի դրան։ Նշեք, թե երկու դեպքերից որն եք տեսել, որովհետև պլանի մնացած մասը կախված է դրանից։

Երկու դարպաս փակվում են ինքնուրույն

Նախ գործում է հարթակի քաղաքականությունը. ցանցային անվտանգության խումբը փաթեթը տեսնում է հյուրից առաջ։ Այդ հերթականությունը NSG-ի կատարյալ գրառումը դարձնում է անօգուտ, երբ հոսթը դեն է նետում փաթեթը, և բաց հոսթի կանոնը՝ անօգուտ, երբ հարթակը մերժում է այն։ Վերաբերվեք դրանց որպես առանձին դարպասների և ստուգեք յուրաքանչյուրը առանձին։

Կարդացեք NSG-ի գործող կանոնները պորտալում կամ CLI-ում, ապա համեմատեք դրանք հյուրի սեփական կանոնների հետ։ Մի ենթադրեք, որ ձեր հիշած վերջին փոփոխությունն է ուժի մեջ մտել։

Սպառողական հաճախորդը կարող է նաև տեղադրել զտիչ վարորդ կամ անջատիչ, որը արգելափակում է երթևեկությունը Windows-ի բրենդմաուերից ներքև։ Եթե բրենդմաուերի կանոնները ճիշտ են թվում, և պորտը դեռ ձախողվում է, հաջորդ կասկածյալը այդ շերտն է։

Օգտագործեք հյուրի գործակալը որպես վերադարձի ուղի

Հեռավոր կատարման երկու հատկություն՝ Run Command-ը և Custom Script Extension-ը, աշխատում են հյուրի ներսում հարթակի գործակալի միջոցով։ Նրանցից ոչ մեկը RDP չի պահանջում, ուստի բրենդմաուերի սխալը չի ազդում նրանց վրա։ Երկուսն էլ վերադարձնում են սկրիպտի ելքը, ինչը նրանց դարձնում է ախտորոշման և միաժամանակ վերանորոգման ուղի։

Կարդացեք ակտիվ պրոֆիլը և RDP-ի կանոնը նախքան դրանցից որևէ մեկը փոխելը։

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Այդ պրոֆիլում ներգնա կանոնների վերակարգավորումը ժամանակավոր միջոց է, ոչ թե նպատակ։ Օգտագործեք այն սեսիա ստանալու համար, ապա պատշաճ կերպով փակեք բացը։

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Այդ անջատիչը բացում է պրոֆիլի բոլոր ներգնա կանոնները, ոչ միայն RDP-ն։ Սեսիա ունենալուց հետո փոխարինեք այն սահմանափակ կանոնով և վերականգնեք այն կարգավորումները, որոնք իրոք ուզում եք։ Եթե գործակալը նույնպես հասանելի չէ, պահուստային տարբերակը սերիական կոնսոլն է կամ վերակառուցված սկավառակը, և սա է գործակալին առողջ պահելու գործնական պատճառը։

Նեղացրեք անցքը նախքան սեսիան փակելը

Պրոֆիլի ժամանակավոր փոփոխությունը դուռ է, որը բաց է պահվում այդ պրոֆիլի յուրաքանչյուր ներգնա կանոնի համար։ Փոխարինեք այն ձեր աղբյուրի հասցեով և RDP պորտով սահմանափակված կանոնով, ապա հաստատեք, որ պրոֆիլը վերադարձել է նախատեսված վիճակին։ Արեք դա, քանի դեռ սեսիան ձեռքի տակ է, որովհետև հաջորդ սխալը կարող է հեռվից անշրջելի լինել։ Փոփոխության ընթացքում պահեք երկրորդ վարչական ուղի, օրինակ Bastion-ը կամ սերիական կոնսոլը։

Հաստատեք արդյունքը ձեր աշխատանքային կայանից՝ պորտի ստուգմամբ, և հյուրի ներսից՝ կանոնների ցանկով։

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Միացրեք բրենդմաուերի գրանցումը փորձարկման ողջ ընթացքում։ Մեկ տողը դեն նետված փաթեթի մասին, որը նշում է 3389-ը և ակտիվ պրոֆիլը, ավելի արագ է պատասխանում հարցին, քան ևս մեկ վերագործարկումը։

Թույլ մի տվեք հաջորդ տեղադրիչին կրկնել դա

Եթե այդ հոսթը պատճառ չունի գործարկելու հաճախորդը, ապատեղադրեք այն։ Տեղադրված հաճախորդը մշտական հրավեր է հաջորդ թարմացմանը՝ նորից վերաշարադրել պրոֆիլը, և հաջորդ մարդը նույն ընդհատումը կվերացնի պորտալից։

Վերցրեք սկավառակի պահպանված պատկեր նախքան թույլ կտաք որևէ բանի վերաշարադրել ցանցային կարգավորումները, և պահեք երկրորդ վարչական ուղին պատրաստ նախքան այն ձեզ պետք գա։

Գրանցեք, թե տեղադրիչը ինչ փոխեց՝ ադապտերներ, երթուղիներ, բրենդմաուերի պրոֆիլներ, զտիչ վարորդներ և ծառայություններ։ Այդ գրառումը հաջորդ դեպքը դարձնում է ծանոթ օրինակ՝ նոր հետաքննության փոխարեն։ Երբ VM-ին անհրաժեշտ է թունել դեպի ճիշտ մեկ ծառայություն, դրեք հաճախորդը ձեր աշխատանքային կայանում կամ կառուցեք կայք-կայք կապ, փոխարենը տեղադրելով սերվերի վրա նոթբուքերի համար նախատեսված արտադրանք։ Սպառողական հաճախորդները նախատեսված են նոթբուքերի համար, և հեռվից ձեր կառավարած սերվերը այդպիսին չէ։