Հեռավոր աշխատասեղանը VPN-ի միջով. ո՞ր ձախողման մեջ եք։

Ձեր թունելը միացված է, ներքին վիքին բեռնվում է, բայց հեռավոր աշխատասեղանը դեռ հրաժարվում է միանալ։ Այդ համադրությունը նորմալ է, որովհետև VPN-ը ուղի է տալիս դեպի հոսթը, մինչդեռ աշխատասեղանի ծառայությունը պետք է լսի, թույլատրվի իր իսկ firewall-ով և պատրաստ լինի նույնականացնել հաշիվը։ Աշխատող թունելի և օգտագործելի նստաշրջանի միջև կան ձախողման չորս փուլեր, և յուրաքանչյուրը ձախողվում է տարբեր հաղորդագրությամբ։ Նախ կարդացեք հաղորդագրությունը, որովհետև այն անվանում է փուլը։

Չորս ձախողումներ, որ նման են մեկին

Փուլերը դասավորված են. անունը լուծվում է այն մասնավոր հասցեի, որը նախատեսում է դիզայնը, պորտը պատասխանում է TCP ձեռքսեղմմանը, հոսթը ընդունում է միացումը իր իսկ քաղաքականությամբ, և նստաշրջանի մուտքը հաջողվում է։ Յուրաքանչյուր փուլ հաջորդին դարձնում է անստուգելի, դրա համար էլ ցանցը կարգավորելուց առաջ RDP-ի կարգավորումները փոխելը միայն աղմուկ է ստեղծում։ Ախտանիշը օգտվողի կողմից չորս դեպքում էլ նույնն է թվում։ Միայն հաճախորդի հաղորդագրությունն է տարբերակում դրանք։

Աշխատող ներքին կայքը չի ապացուցում չորսից ոչ մեկը։ Այն ապացուցում է, որ նույն ցանցի հոսթը պատասխանել է այլ պորտում այլ ծառայությամբ։ Ընդունեք դա որպես երթուղման մասին ապացույց և ոչ ավելին։

Ստուգեք հերթականությամբ և գրի առեք արդյունքը։ Մուտքի էկրանին ցատկելը, քանի որ պորտը պատասխանել է, այն ձևն է, որով կես օրը վատնվում է firewall-ի խնդրի վրա, որը առաջին քայլն արդեն գտել է։

Ինչ-որ բան լսու՞մ է 3389 պորտին։

Սկսեք անունից, որովհետև սխալ հասցեի լուծվող անունն անվավեր է դարձնում բոլոր հետագա ստուգումները։ Հարցրեք թունելի լուծիչին, թե ինչ է նշանակում անունը, ապա համեմատեք պատասխանը այն մասնավոր հասցեի հետ, որը նախատեսում է դիզայնը, և ոչ հաջող պատասխանի հետ։ Հանրային հասցեի լուծվող անունը հենց ամբողջ խնդիրն է, և ոչ մի RDP փոփոխություն չի ուղղի այն՝

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Ապա ստուգեք պորտը, ոչ թե հոսթը։ 3389-ում ավարտված TCP ձեռքսեղմումը հասանելիությունը առանձնացնում է դրա վերևում գտնվող ամեն ինչից՝

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Անցկացրեք այդ ստուգումը LAN-ից և թունելից, որովհետև երկու արդյունքների տարբերությունը խափանումը տեղայնացնում է VPN ուղու վրա։ Ուղու վրա կան երկու firewall և դրանք հեշտ է շփոթել. ցանցը պետք է թույլ տա հաճախորդի թունելի հասցեին հասնել հոսթին, իսկ հոսթի սեփական firewall-ը պետք է թույլ տա նույն աղբյուրին լսող պորտում։ LAN ենթացանցով սահմանափակված կանոնը չի ընդգրկում VPN հաճախորդների լողավազանը, և դա է ժամանակի սպառման ամենատարածված պատճառը, որի մասին հայտնում են միայն հեռավոր օգտվողները։ Ստուգեք կանոնի ծածկույթը, ոչ թե գոյությունը։

Հետադարձ ուղին արժանի է նույն ստուգմանը։ Պատասխաններին պետք է ուղի դեպի հաճախորդների լողավազան, ոչ թե դեպի LAN, և հոսթի առջևի թարգմանությունը փոխում է այն աղբյուրը, որը ցույց կտա ձեր մատյանը։ Եթե պորտը պատասխանում է մի ուղղությամբ և ոչ մյուսով, բացակայող կեսը սովորաբար հետադարձ ուղին է։

Կարդացեք հաղորդագրությունը՝ նախքան կարգավորումը կարդալը

Երրորդ փուլը հոսթի կողմից միացման մերժումն է իր իսկ քաղաքականությամբ, ինչը հաճախ նման է պորտի, որը անմիջապես բացվում և փակվում է։ Ինչ-որ բան պատասխանել է, և դա օգտակար տեղեկություն է, ոչ թե լռություն։ Եթե ձեռքսեղմումը ավարտվել է, և նստաշրջանը անմիջապես մահացել է, ցանցը լավ է, և որոշում է հոսթը։ Նայեք հեռավոր աշխատասեղանի թույլտվություններին՝ նախքան ցանցին նորից դիպչելը։

Գործառույթը կարող է միացված լինել մեքենայի համար, մինչդեռ հասանելիությունը սահմանափակված է որոշակի խմբերով, և լսողը կարող է կապված լինել այնպես, որ բացառի այն հասցեն, որտեղից եկել եք։ Ցանցային մակարդակի նույնականացումը ավելացնում է դարպաս, որը ձախողվում է աշխատասեղանի բեռնումից առաջ, և դրա սխալի տեքստը տարբերվում է սխալ գաղտնաբառից։ Համեմատեք հաճախորդի հաղորդագրությունը հոսթի իրադարձությունների մատյանի հետ, որովհետև հաղորդագրությունը անվանում է դարպասը, իսկ մատյանը՝ հաշիվը։

Նստաշրջանի մուտքն իր սեփական սահմանն է

Նույնականացումը պատկանում է աշխատասեղանի ծառայությանը, ոչ թե VPN-ին։ Թունելի ինքնությունը և աշխատասեղանի հաշիվը առանձին հավատարմագրեր են առանձին արգելափակման քաղաքականությամբ, ուստի աշխատող թունելը միայն ապացուցում է, որ թունելը ընդունել է ձեզ։ Աշխատասեղանի հաշվի արգելափակումը չի խանգարում թունելին, և հակառակը նույնպես ճիշտ է։

Պահեք երկուսն էլ անձեռնմխելի։ Երբ մասնավոր ուղին բացակայում է, ուղղեք ուղին, որովհետև լսողին ինտերնետում հրապարակելը հասանելիության սխալը փոխանակում է բաց աշխատասեղանի հետ։ Մի թուլացրեք նաև նստաշրջանի ինքնության ստուգումները՝ միաժամանակ հայտնված վկայագրի զգուշացումը շրջանցելու համար։ Ինքնաստորագրված վկայագիրը RDP լսողի վրա զգուշացում է տալիս ըստ դիզայնի, ուստի այն ընդունելը որոշում է, ոչ թե քայլ։

Հաշվեք փորձերը՝ նախքան նորից փորձելը։ Աշխատասեղանի արգելափակման շեմերը ձախողված մուտքերը հաշվում են VPN ձախողումներից առանձին, և ժամաչափով նորից փորձող հաճախորդը կարող է անցնել շեմը, մինչ դուք դեռ խմբագրում եք կանոն։ Դա նույն զուգահեռ նորափորձի մեխանիզմն է, որը արգելափակում է հաշիվները գաղտնաբառի փոփոխությունից հետո։

Ինչ կարող է տեղափոխել նստաշրջանը, և որտեղ է այն մնում

Սովորեք հաստատված դուրս գալու ընթացակարգը՝ նախքան այն անհրաժեշտ կլինի։ Պատուհանը փակելը կարող է անջատել միայն տեսքը, մինչ նստաշրջանը շարունակում է աշխատել իր կարգավորված քաղաքականությամբ, ինչը կարևոր է համատեղ կամ աուդիտ անցած հոսթում։ Դուրս եկեք նստաշրջանի ներսից, երբ քաղաքականությունը դա է սպասում։

Ապա որոշեք, ինչ կարող է կրել նստաշրջանը, որովհետև clipboard-ը, վերահասցեավորված սկավառակները, տպիչի վերահասցեավորումը և ֆայլերի փոխանցումը տվյալներ են տեղափոխում տեղական և հեռավոր համակարգերի միջև այնտեղ, որտեղ քաղաքականությունը թույլ է տալիս։ Մյուս կողմում աշխատող հրապարակված հավելվածը ինքնաբերաբար ներբեռնումից զերծ սահման չէ, և միայն կարդալու տեսք ունեցող նստաշրջանը դեռ կարող է clipboard կրել։ Ստուգեք իրական առաջադրանքը, ոչ թե միացումը. բացեք ֆայլը, օգտագործեք հավելվածը և հաստատեք ձեզ անհրաժեշտ վերահասցեավորումը։ Microsoft-ի ուղեցույցը դրսից հեռավոր աշխատասեղանին հասնելու մասին նկարագրում է աջակցվող բացահայտման տարբերակները, և այն ավելի լավ աղբյուր է, քան ճնշման տակ ավելացված հանրային լսողը։