RDP ჩერდება VPN კლიენტის დაყენების შემდეგ? დამნაშავე ფაირვოლია

Consumer VPN კლიენტის ინსტალაციის დასრულებიდან რამდენიმე წუთში პორტალი კვლავ ამბობს, რომ VM მუშაობს, საჯარო IP არ შეცვლილა და RDP არ პასუხობს. ადამიანები ჩვეულებრივ ფიქრობენ, რომ VM ჩამოვარდა ან ქსელის უსაფრთხოების ჯგუფი შეიცვალა, და ორივე ჩვეულებრივ მცდარია. რაც შეიცვალა, არის Windows-ის ფაირვოლის პროფილი, რომელშიც მანქანაა, და RDP-ის წესი, რომელიც ადრე ემთხვეოდა, აღარ ემთხვევა. შეკეთება იწყება shell-ის მოპოვებით გზით, რომელიც RDP-ზე არ არის დამოკიდებული.

VM მუშაობს; წესი აღარ ემთხვევა

Windows-ის ფაირვოლის წესებს პროფილების ნაკრები აქვს, და კერძო ან დომენის პროფილზე შეზღუდულ წესს არანაირი ეფექტი არ აქვს, სანამ მანქანა საჯარო პროფილშია. VPN-ის ინსტალატორები ამატებენ ადაპტერებსა და მარშრუტებს, და ბევრი მათგანი გვერდითი ეფექტით ამკაცრებს საჯაროს. მსმენელი 3389-ზე მიბმული რჩება და პაკეტები მაინც მოდის, მაგრამ პროფილის შეუსაბამობა მათ ყრის.

კვების მდგომარეობა და ხელმისაწვდომობა ცალკე ფაქტებია, და დახურული პორტის მქონე მოქმედი VM გარედან ზუსტად ჩამოვარდნილს ჰგავს.

შეამოწმეთ პორტი, სანამ რამეს შეცვლით. 3389-ზე დაკავშირების მცდელობა, რომელიც დროის ლიმიტს ხვდება, მაშინ როცა სტუმარი აგენტის ბრძანება ჯერ კიდევ აბრუნებს გამომავალს, ჰოსტის ფაირვოლზე მიუთითებს. პორტი პასუხობს, მაგრამ RDP კვლავ წარუმატებელია, რაც ნიშნავს, რომ ხარვეზი ქსელის დონის ზემოთაა, და ეს შეკეთება მას არ შეეხება. ჩაიწერეთ, ორი შემთხვევიდან რომელი ნახეთ, რადგან დანარჩენი გეგმა ამაზეა დამოკიდებული.

ორი კარიბჭე დამოუკიდებლად იკეტება

ჯერ პლატფორმის პოლიტიკა მუშაობს: ქსელის უსაფრთხოების ჯგუფი პაკეტს სტუმარზე ადრე ხედავს. ეს რიგი სრულყოფილ NSG ჩანაწერს უსარგებლოს ხდის, როცა ჰოსტი პაკეტს ყრის, და ღია ჰოსტის წესს — უსარგებლოს, როცა პლატფორმა უარყოფს მას. მოეპყარით მათ ცალკე კარიბჭეებად და გამოსცადეთ თითოეული დამოუკიდებლად.

წაიკითხეთ NSG-ის მოქმედი წესები პორტალში ან CLI-ში, შემდეგ შეადარეთ ისინი სტუმრის საკუთარ წესებს. ნუ ჩავთვლით, რომ თქვენ მიერ გახსენებული ბოლო ცვლილება ძალაში შევიდა.

Consumer კლიენტს შეუძლია ასევე დააყენოს ფილტრის დრაივერი ან გამომრთველი, რომელიც ბლოკავს ტრაფიკს Windows-ის ფაირვოლის ქვემოთ. თუ ფაირვოლის წესები სწორად გამოიყურება და პორტი მაინც ვერ მუშაობს, შემდეგი ეჭვმიტანილი ეს დონეა.

გამოიყენეთ სტუმარი აგენტი დაბრუნების გზად

დისტანციური გაშვების ორი ფუნქცია, Run Command და Custom Script Extension, მუშაობს სტუმრის შიგნით პლატფორმის აგენტის მეშვეობით. არც ერთს არ სჭირდება RDP, ამიტომ ფაირვოლის შეცდომა მათზე არ მოქმედებს. ორივე აბრუნებს სკრიპტის გამომავალს, რაც მათ დიაგნოსტიკისა და ამავე დროს შეკეთების არხად აქცევს.

წაიკითხეთ აქტიური პროფილი და RDP-ის წესი, სანამ რომელიმეს შეცვლით:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

ამ პროფილზე შემავალი წესების ხელახლა ჩართვა დროებითი ზომაა, და არა მიზანი. გამოიყენეთ ის სესიის მისაღებად, შემდეგ სწორად დახურეთ ნაპრალი:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

ის გადამრთველი ხსნის პროფილის ყველა შემავალ წესს, და არა მხოლოდ RDP-ს. სესიის მიღების შემდეგ შეცვალეთ ის შეზღუდული წესით და აღადგინეთ ის პარამეტრები, რომლებიც ნამდვილად გსურთ. თუ აგენტი ასევე მიუწვდომელია, სარეზერვო ვარიანტია სერიული კონსოლი ან ხელახლა აშენებული დისკი, და ეს არის აგენტის ჯანსაღად შენახვის პრაქტიკული მიზეზი.

შეავიწროვეთ ნაპრალი, სანამ სესიას დახურავთ

პროფილის დროებითი ცვლილება კარია, რომელიც ღიად არის შენარჩუნებული ამ პროფილის ყველა შემავალი წესისთვის. შეცვალეთ ის წესით, რომელიც შეზღუდულია თქვენს წყაროს მისამართზე და RDP პორტზე, შემდეგ დაადასტურეთ, რომ პროფილი დაუბრუნდა განზრახ მდგომარეობას. გააკეთეთ ეს მაშინ, როცა სესია ჯერ კიდევ გაქვთ, რადგან შემდეგი შეცდომა შეიძლება დისტანციურად შეუქცევადი იყოს. ცვლილების დროს მზად გქონდეთ მეორე ადმინისტრაციული გზა, მაგალითად Bastion ან სერიული კონსოლი.

დაადასტურეთ შედეგი თქვენი სამუშაო სადგურიდან პორტის ტესტით, და სტუმრის შიგნიდან წესების სიით:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

ჩართეთ ფაირვოლის ჟურნალირება ტესტის ხანგრძლივობით. ერთი ხაზი ჩაგდებულ პაკეტზე, რომელიც ახსენებს 3389-ს და აქტიურ პროფილს, კითხვას უფრო სწრაფად პასუხობს, ვიდრე კიდევ ერთი გადატვირთვა.

შეუშალეთ შემდეგ ინსტალატორს ამის გამეორება

თუ ამ ჰოსტს კლიენტის გაშვების მიზეზი არ აქვს, წაშალეთ ის. დაინსტალირებული კლიენტი მუდმივი მოწვევაა შემდეგი განახლებისთვის, რომ კვლავ გადაწეროს პროფილი, და შემდეგი ადამიანი იმავე შეწყვეტას გამართავს პორტალიდან.

გადაუღეთ დისკის სურათი, სანამ რაიმეს მისცემთ ქსელის პარამეტრების გადაწერის უფლებას, და მეორე ადმინისტრაციული გზა მზად გქონდეთ, სანამ დაგჭირდებათ.

ჩაწერეთ, რა შეცვალა ინსტალატორმა: ადაპტერები, მარშრუტები, ფაირვოლის პროფილები, ფილტრის დრაივერები და სერვისები. ეს ჩანაწერი შემდეგ შემთხვევას ნაცნობ ნიმუშად აქცევს ახალი გამოძიების ნაცვლად. როცა VM-ს სჭირდება გვირაბი ზუსტად ერთ სერვისამდე, განათავსეთ კლიენტი თქვენს სამუშაო სადგურზე ან ააშენეთ საიტ-საიტ კავშირი, სერვერზე ლეპტოპის პროდუქტის დაყენების ნაცვლად. Consumer კლიენტები ლეპტოპებზეა გათვლილი, და დისტანციურად თქვენ მიერ მართული სერვერი ასეთი არ არის.