Stoppar RDP eftir uppsetningu VPN-biðlara? Eldveggurinn á sökina

Nokkrum mínútum eftir að neytenda-VPN-biðlari lýkur uppsetningu segir gáttin enn að VM sé í gangi, opinbert IP hafi ekki breyst og RDP svari ekki. Fólk gerir venjulega ráð fyrir að VM hafi hrunið eða að netöryggishópurinn hafi breyst, og bæði er venjulega rangt. Það sem breyttist er eldveggsprófíll Windows sem vélin er í, og RDP-reglan sem passaði áður passar ekki lengur. Viðgerðin hefst á að fá skel um leið sem er ekki háð RDP.

VM er í gangi; reglan hætti að passa

Eldveggsreglur í Windows bera prófílasett, og regla sem er takmörkuð við Einkaaðila eða Lén hefur engin áhrif á meðan vélin er í Opinberum prófíl. VPN-uppsetningarforrit bæta við millistykjum og leiðum, og mörg þeirra herða Opinberan sem aukaverkun. Hlustandinn helst bundinn við 3389 og pakkarnir berast enn, en prófílamisræmið hendir þeim.

Aflstaða og aðgengi eru aðskildar staðreyndir, og VM í gangi með lokað port lítur utan frá nákvæmlega út eins og hrunið.

Prófaðu portið áður en þú breytir nokkru. Tilraun til að tengjast 3389 sem rennur út á tíma á meðan skipun gestaagentans skilar enn úttaki bendir á eldvegg hýsilsins. Port sem svarar á meðan RDP mistekst enn þýðir að bilunin er ofar netlaginu, og þessi viðgerð mun ekki snerta hana. Skráðu hvort tveggja tilvikanna þú sást, því afgangur áætlunarinnar veldur því.

Tvö hlið lokast óháð

Stefna kerfisins fer fyrst: netöryggishópurinn sér pakkann áður en gesturinn. Þessi röð gerir fullkomna NSG-færslu gagnslausa þegar hýsillinn hendir pakkanum, og opna hýsilsreglu gagnslausa þegar kerfið hafnar henni. Meðhöndlaðu þau sem aðskilin hlið og prófaðu hvert fyrir sig.

Lestu gildandi reglur NSG í gáttinni eða CLI, og berðu þær síðan saman við eigin reglur gestanna. Ekki gera ráð fyrir að síðasta breytingin sem þú manst sé sú sem tók gildi.

Neytendabiðlari getur líka sett upp síudrif og rofa sem stöðvar umferð undir eldvegg Windows. Ef eldveggsreglurnar virðast réttar og portið mistekst enn, er það lagið næsti grunur.

Notaðu gestaagentinn sem leið inn aftur

Tveir eiginleikar fyrir fjarkeyrslu, Run Command og Custom Script Extension, keyra inni í gestinum um agent kerfisins. Hvorugur þarf RDP, svo eldveggsmistak hefur ekki áhrif á þá. Báðir skila úttaki skriptsins, sem gerir þá að greiningar- og viðgerðarrás.

Lestu virka prófílinn og RDP-regluna áður en þú breytir hvoru sem er:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Að endurvirkja innkomandi reglur á þeim prófíl er tímabundin ráðstöfun, ekki áfangastaður. Notaðu hana til að fá lotu og lokaðu síðan bilinu almennilega:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Sá rofi opnar hverja innkomandi reglu prófílsins, ekki aðeins RDP. Þegar þú hefur lotu skaltu skipta honum út fyrir þrengda reglu og endurheimta stillingarnar sem þú vilt í raun. Ef agentinn er líka óaðgengilegur er varabúnaðurinn raðtengd stjórnborð eða endurbyggður diskur, og það er hagnýta ástæðan fyrir að halda agentinum heilbrigðum.

Þrengdu bilið áður en þú lokar lotunni

Tímabundna prófýlabreytingin er hurð sem haldið er opinni fyrir hverja innkomandi reglu þess prófíls. Skiptu henni út fyrir reglu sem er takmörkuð við upprunatölu þína og RDP-portið, og staðfestu síðan að prófíllinn sé kominn aftur í fyrirhugað ástand. Gerðu þetta á meðan þú hefur lotuna enn, því næstu mistök eru ef til vill ekki afturkræf úr fjarlægð. Hafðu aðra stjórnunarleið eins og Bastion eða raðtengt stjórnborð við höndina meðan á breytingunni stendur.

Staðfestu niðurstöðuna frá vinnustöðinni með portprófi, og innan frá gestinum með reglulistanum:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Kveiktu á skráningu eldveggsins meðan prófið stendur. Ein lína um hendingu pakka sem nefnir 3389 og virka prófílinn svarar spurningunni hraðar en enn ein endurræsing.

Komdu í veg fyrir að næsta uppsetningarforrit geri það aftur

Ef sá hýsill hefur enga ástæðu til að keyra biðlarann skaltu fjarlægja hann. Uppsettur biðlari er varanlegt boð fyrir næstu uppfærslu að endurskrifa prófílinn aftur, og næsta manneskja mun kemba sömu truflunina frá gáttinni.

Taktu skyndimynd af disknum áður en þú leyfir nokkru að endurskrifa netstillingar, og hafðu aðra stjórnunarleið til reiðu áður en þú þarft á henni að halda.

Skráðu hvað uppsetningarforritið breytti: millistykkjum, leiðum, eldveggsprófílum, síudrifum og þjónustum. Sú skráning gerir næsta atvik að þekktu mynstri í stað nýrrar rannsóknar. Þegar VM þarf göng að nákvæmlega einni þjónustu skaltu setja biðlarann á vinnustöðina þína eða byggja tengingu milli staða í stað þess að setja upp fartölvuvöru á netþjóninn. Neytendabiðlarar miða á fartölvur, og netþjónn sem þú stýrir úr fjarlægð er ekki það.