RDP berhenti setelah memasang klien VPN? Penyebabnya firewall

Beberapa menit setelah klien VPN konsumen selesai dipasang, portal masih menyatakan VM berjalan, IP publik tidak berubah, dan RDP tidak merespons. Orang biasanya mengira VM mogok atau grup keamanan jaringan berubah, dan keduanya biasanya salah. Yang berubah adalah profil firewall Windows tempat mesin berada, dan aturan RDP yang dulu cocok tidak lagi cocok. Perbaikan dimulai dengan mendapatkan shell lewat jalur yang tidak bergantung pada RDP.

VM berjalan; aturannya berhenti cocok

Aturan firewall di Windows membawa kumpulan profil, dan aturan yang dibatasi ke Privat atau Domain tidak berlaku selama mesin berada di profil Publik. Pemasang VPN menambahkan adaptor dan rute, dan beberapa di antaranya memperketat Publik sebagai efek samping. Pendengar tetap terikat ke 3389 dan paketnya masih datang, tetapi ketidakcocokan profil membuangnya.

Keadaan daya dan keterjangkauan adalah fakta terpisah, dan VM yang berjalan dengan port tertutup terlihat dari luar persis seperti yang mogok.

Uji port sebelum mengubah apa pun. Upaya koneksi ke 3389 yang habis waktu sementara perintah agen tamu masih mengembalikan keluaran menunjuk ke firewall host. Port yang menjawab tetapi RDP masih gagal berarti kesalahannya ada di atas lapisan jaringan, dan perbaikan ini tidak akan menyentuhnya. Catat mana dari dua kasus yang Anda lihat, karena sisa rencana bergantung padanya.

Dua gerbang menutup secara mandiri

Kebijakan platform berjalan lebih dulu: grup keamanan jaringan melihat paket sebelum tamu. Urutan itu membuat entri NSG yang sempurna tidak berguna ketika host membuang paket, dan aturan host yang terbuka tidak berguna ketika platform menolaknya. Perlakukan keduanya sebagai gerbang terpisah dan uji masing-masing sendiri.

Baca aturan efektif NSG di portal atau CLI, lalu bandingkan dengan aturan tamu sendiri. Jangan menganggap perubahan terakhir yang Anda ingat adalah yang berlaku.

Klien konsumen juga dapat memasang pengandar filter atau kill switch yang memblokir lalu lintas di bawah firewall Windows. Jika aturan firewall tampak benar dan port masih gagal, lapisan itu adalah tersangka berikutnya.

Gunakan agen tamu sebagai jalur masuk kembali

Dua fitur eksekusi jarak jauh, Run Command dan Custom Script Extension, berjalan di dalam tamu melalui agen platform. Keduanya tidak membutuhkan RDP, jadi kesalahan firewall tidak memengaruhinya. Keduanya mengembalikan keluaran skrip, yang menjadikannya kanal diagnostik sekaligus kanal perbaikan.

Baca profil aktif dan aturan RDP sebelum mengubah salah satunya:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Mengaktifkan kembali aturan masuk pada profil itu adalah tindakan sementara, bukan tujuan. Gunakan untuk mendapatkan sesi, lalu tutup celahnya dengan benar:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Sakelar itu membuka setiap aturan masuk pada profil, bukan hanya RDP. Setelah Anda memiliki sesi, ganti dengan aturan terbatas dan pulihkan pengaturan yang benar-benar Anda inginkan. Jika agen juga tidak tersedia, konsol serial atau disk yang dibangun ulang adalah cadangannya, dan itulah alasan praktis untuk menjaga agen tetap sehat.

Persempit celah sebelum menutup sesi

Perubahan profil sementara adalah pintu yang dibiarkan terbuka bagi setiap aturan masuk pada profil itu. Ganti dengan aturan yang dibatasi ke alamat sumber Anda dan port RDP, lalu pastikan profil kembali ke keadaan yang dimaksud. Lakukan selagi Anda masih memiliki sesi, karena kesalahan berikutnya mungkin tidak dapat dibalik dari jarak jauh. Siapkan jalur administratif kedua seperti Bastion atau konsol serial selama perubahan.

Pastikan hasilnya dari stasiun kerja Anda dengan uji port, dan dari dalam tamu dengan daftar aturan:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Aktifkan pencatatan firewall selama pengujian. Satu baris tentang paket yang dibuang yang menyebut 3389 dan profil aktif menjawab pertanyaan lebih cepat daripada satu lagi boot ulang.

Cegah pemasang berikutnya melakukannya lagi

Jika host itu tidak punya alasan menjalankan klien, hapus pemasangannya. Klien yang terpasang adalah undangan tetap bagi pembaruan berikutnya untuk menulis ulang profil lagi, dan orang berikutnya akan men-debug gangguan yang sama dari portal.

Ambil cuplikan disk sebelum membiarkan apa pun menulis ulang pengaturan jaringan, dan siapkan jalur administratif kedua sebelum Anda membutuhkannya.

Catat apa yang diubah pemasang: adaptor, rute, profil firewall, pengandar filter, dan layanan. Catatan itu mengubah insiden berikutnya menjadi pola yang dikenal alih-alih penyelidikan baru. Ketika VM membutuhkan terowongan ke tepat satu layanan, letakkan klien di stasiun kerja Anda atau bangun tautan antarsitus alih-alih memasang produk laptop di server. Klien konsumen menyasar laptop, dan server yang Anda kelola dari jarak jauh bukan itu.