დისტანციური სამუშაო მაგიდა VPN-ის გავლით: რომელ წარუმატებლობაში ხართ?

თქვენი გვირაბი აქტიურია, შიდა ვიკი იტვირთება და დისტანციური სამუშაო მაგიდა მაინც უარყოფს დაკავშირებას. ეს კომბინაცია ნორმალურია, რადგან VPN მარშრუტს აძლევს ჰოსტამდე, ხოლო სამუშაო მაგიდის სერვისმა უნდა მოუსმინოს, დაშვებული იყოს საკუთარი firewall-ით და მზად იყოს ანგარიშის ავთენტიფიკაციისთვის. მუშა გვირაბსა და გამოსაყენებელ სესიას შორის ოთხი წარუმატებლობის ეტაპია და თითოეული სხვადასხვა შეტყობინებით მარცხდება. ჯერ შეტყობინება წაიკითხეთ, რადგან ის ეტაპს ასახელებს.

ოთხი წარუმატებლობა, რომლებიც ერთს ჰგავს

ეტაპები დალაგებულია: სახელი იხსნება იმ პირად მისამართამდე, რომელსაც დიზაინი გულისხმობს, პორტი პასუხობს TCP ხელის ჩამორთმევას, ჰოსტი იღებს კავშირს საკუთარი პოლიტიკით და სესიაში შესვლა წარმატებულია. ყოველი ეტაპი შემდეგს შეუმოწმებელს ხდის, ამიტომ ქსელის მოწესრიგებამდე RDP-ის პარამეტრების შეცვლა მხოლოდ ხმაურს ქმნის. სიმპტომი მომხმარებლის მხრიდან ოთხივე შემთხვევაში იდენტურად გამოიყურება. მხოლოდ კლიენტის შეტყობინება ყოფს მათ.

მუშა შიდა ვებსაიტს ოთხიდან არც ერთი არ ამტკიცდება. ის ამტკიცებს, რომ იმავე ქსელის ჰოსტმა სხვა პორტზე სხვა სერვისით უპასუხა. მიიღეთ ეს როგორც მტკიცებულება მარშრუტიზაციის შესახებ და მეტი არაფერი.

შეამოწმეთ რიგითობით და ჩაწერეთ შედეგი. შესვლის ეკრანზე გადახტომა იმიტომ, რომ პორტმა უპასუხა, არის გზა, რომ ნახევარი დღე დახარჯოთ იმ firewall-ის პრობლემაზე, რომელიც პირველმა ნაბიჯმა უკვე იპოვა.

რამე ისმენს 3389 პორტზე?

დაიწყეთ სახელით, რადგან არასწორ მისამართამდე გახსნილი სახელი ყველა შემდგომ შემოწმებას ბათილს ხდის. ჰკითხეთ გვირაბის ამომხსნელს, რას ნიშნავს სახელი, შემდეგ შეადარეთ პასუხი იმ პირად მისამართს, რომელსაც დიზაინი გულისხმობს და არა წარმატებულ პასუხს. საჯარო მისამართამდე გახსნილი სახელი მთელი პრობლემაა და არც ერთი RDP ცვლილება არ გამოასწორებს მას:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

შემდეგ შეამოწმეთ პორტი და არა ჰოსტი. 3389-ზე დასრულებული TCP ხელის ჩამორთმევა ხელმისაწვდომობას ყოფს ყველაფრისგან, რაც მის ზემოთაა:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

გაუშვით ეს შემოწმება LAN-იდან და გვირაბიდან, რადგან ორ შედეგს შორის სხვაობა ხარვეზს VPN-ის მარშრუტზე ალოკალიზებს. მარშრუტზე ორი firewall-ია და მათი არევა ადვილია: ქსელმა უნდა დაუშვას კლიენტის გვირაბის მისამართს ჰოსტამდე მისვლა, ხოლო ჰოსტის საკუთარმა firewall-მა უნდა დაუშვას იმავე წყაროს მოსმენის პორტზე. LAN-ის ქვექსელზე შეზღუდული წესი არ ფარავს VPN კლიენტების აუზს და ეს არის დროის ამოწურვის ყველაზე გავრცელებული მიზეზი, რომელზეც მხოლოდ დისტანციური მომხმარებლები იუწყებიან. შეამოწმეთ წესის ფარგლები და არა მისი არსებობა.

დაბრუნების გზაც იმავე შემოწმებას იმსახურებს. პასუხებს სჭირდებათ გზა უკან კლიენტების აუზამდე და არა LAN-ამდე, ხოლო ჰოსტის წინ ტრანსლაცია ცვლის წყაროს, რომელსაც თქვენი ჟურნალი აჩვენებს. თუ პორტი ერთი მიმართულებით პასუხობს და მეორეთი არა, დაკარგული ნახევარი ჩვეულებრივ დაბრუნების გზაა.

წაიკითხეთ შეტყობინება კონფიგურაციის წაკითხვამდე

მესამე ეტაპია ჰოსტის მიერ კავშირის უარყოფა საკუთარი პოლიტიკით, რაც ხშირად ჰგავს პორტს, რომელიც მყისიერად იხსნება და იხურება. რაღაცამ უპასუხა და ეს სასარგებლო ინფორმაციაა და არა სიჩუმე. თუ ხელის ჩამორთმევა დასრულდა და სესია მყისიერად მოკვდა, ქსელი რიგზეა და ჰოსტი წყვეტს. ნახეთ დისტანციური სამუშაო მაგიდის ნებართვები, სანამ ქსელს კვლავ შეეხებით.

ფუნქცია შეიძლება ჩართული იყოს მანქანისთვის, მაშინ როცა წვდომა შეზღუდულია გარკვეულ ჯგუფებზე და მსმენელი შეიძლება ისე იყოს მიბმული, რომ გამორიცხოს ის მისამართი, საიდანაც მოხვედით. ქსელის დონის ავთენტიფიკაცია ამატებს კარს, რომელიც მარცხდება სამუშაო მაგიდის ჩატვირთვამდე და მისი შეცდომის ტექსტი არასწორი პაროლისგან განსხვავდება. შეადარეთ კლიენტის შეტყობინება ჰოსტის მოვლენების ჟურნალს, რადგან შეტყობინება კარს ასახელებს, ჟურნალი კი ანგარიშს.

სესიაში შესვლა საკუთარი საზღვარია

ავთენტიფიკაცია სამუშაო მაგიდის სერვისს ეკუთვნის და არა VPN-ს. გვირაბის იდენტობა და სამუშაო მაგიდის ანგარიში ცალკე მონაცემებია ცალკე ბლოკირების პოლიტიკით, ამიტომ მუშა გვირაბი მხოლოდ იმას ამტკიცებს, რომ გვირაბმა მიგიღოთ. სამუშაო მაგიდის ანგარიშის ბლოკირება გვირაბს ხელს არ უშლის და პირიქითაც მართალია.

შეინახეთ ორივე ხელუხლებელი. როცა პირადი მარშრუტი აკლია, გაასწორეთ მარშრუტი, რადგან მსმენელის ინტერნეტში გამოქვეყნება ხელმისაწვდომობის ხარვეზს ცვლის გახსნილ სამუშაო მაგიდაზე. ასევე ნუ შეასუსტებთ სესიის იდენტობის შემოწმებებს, რომ გაიაროთ ერთდროულად გამოჩენილი სერტიფიკატის გაფრთხილება. თვითნაწერი სერტიფიკატი RDP მსმენელზე დიზაინით იძლევა გაფრთხილებას, ამიტომ მისი მიღება გადაწყვეტილებაა და არა ნაბიჯი.

დათვალეთ ცდები ხელახლა ცდამდე. სამუშაო მაგიდის ბლოკირების ზღვრები წარუმატებელ შესვლებს VPN-ის წარუმატებლობებისგან ცალკე ითვლიან და ტაიმერზე ხელახლა მცდელი კლიენტი შეიძლება ზღვარს გასცდეს, სანამ თქვენ ჯერ კიდევ წესს არედაქტირებთ. ეს იგივე პარალელური ხელახალი ცდის მექანიზმია, რომელიც პაროლის შეცვლის შემდეგ ბლოკავს ანგარიშებს.

რა შეიძლება გადაიტანოს სესიამ და სად რჩება ის

ისწავლეთ დამტკიცებული გასვლის პროცესი, სანამ დაგჭირდებათ. ფანჯრის დახურვამ შეიძლება მხოლოდ ხედი გაწყვიტოს, სესია კი განაგრძობს მუშაობას თავისი კონფიგურირებული პოლიტიკით, რაც მნიშვნელოვანია გაზიარებულ ან აუდიტირებულ ჰოსტზე. გადით სესიის შიგნიდან, როცა პოლიტიკა ამას მოელის.

შემდეგ გადაწყვიტეთ, რა შეიძლება ატაროს სესიამ, რადგან ბუფერი, გადამისამართებული დისკები, პრინტერის გადამისამართება და ფაილების გადაცემა მონაცემებს ლოკალურ და დისტანციურ სისტემებს შორის გადაადგილებს იქ, სადაც პოლიტიკა უშვებს. მეორე მხარეს მოქმედი გამოქვეყნებული აპლიკაცია ავტომატურად არ არის ჩამოტვირთვის გარეშე საზღვარი და მხოლოდ-კითხვადი იერსახის სესიასაც შეუძლია ბუფერის ტარება. შეამოწმეთ რეალური დავალება და არა კავშირი: გახსენით ფაილი, გამოიყენეთ აპლიკაცია და დაადასტურეთ საჭირო გადამისამართება. Microsoft-ის სახელმძღვანელო დისტანციურ სამუშაო მაგიდაზე გარედან მისასვლელად აღწერს მხარდაჭერილ გამოვლენის ვარიანტებს და უკეთესი წყაროა, ვიდრე ზეწოლის ქვეშ დამატებული საჯარო მსმენელი.