VPN клиентін орнатқаннан кейін RDP тоқтайды? Кінәлі — брандмауэр

Тұтынушылық VPN клиенті орнатылып біткен соң бірнеше минут өтсе де, портал VM жұмыс істеп тұр деп айтады, жалпыға ортақ IP өзгерген жоқ, ал RDP жауап бермейді. Адамдар әдетте VM құлады немесе желілік қауіпсіздік тобы өзгерді деп ойлайды, бірақ екеуі де әдетте дұрыс емес. Өзгерген нәрсе — машина тұрған Windows брандмауэрінің профилі, ал бұрын сәйкес келген RDP ережесі енді сәйкес келмейді. Жөндеу RDP-ге тәуелді емес жолмен shell алудан басталады.

VM жұмыс істеп тұр; ереже сәйкес келуін тоқтатты

Windows-тағы брандмауэр ережелері профильдер жиынтығын тасымалдайды, ал Жеке немесе Домен профиліне шектелген ереженің машина Жалпыға ортақ профильде тұрғанда еш әсері жоқ. VPN орнатқыштары адаптерлер мен маршруттар қосады, және олардың көбі жанама әсер ретінде Жалпыға ортақ профильді қатаңдатады. Тыңдаушы 3389-ға байланып қалады және пакеттер әлі де келеді, бірақ профиль сәйкессіздігі оларды лақтырып тастайды.

Қуат күйі мен қолжетімділік бөлек фактілер, ал порты жабық жұмыс істеп тұрған VM сырттан дәл құлаған VM сияқты көрінеді.

Бірдеңені өзгертудің алдында портты тексеріңіз. 3389-ға қосылу әрекеті уақыт шегіне жетсе, ал қонақ агентінің командасы әлі де шығыс қайтарса, бұл хост брандмауэріне меңзейді. Порт жауап берсе де RDP әлі сәтсіз болса, ақау желі қабатынан жоғарыда, және бұл жөндеу оған тимейді. Екі жағдайдың қайсысын көргеніңізді жазып алыңыз, себебі қалған жоспар соған тәуелді.

Екі қақпа тәуелсіз жабылады

Алдымен платформа саясаты іске қосылады: желілік қауіпсіздік тобы пакетті қонақтан бұрын көреді. Бұл реттілік хост пакетті тастағанда мінсіз NSG жазбасын пайдасыз етеді, ал платформа одан бас тартқанда ашық хост ережесін пайдасыз етеді. Оларды бөлек қақпалар ретінде қарастырып, әрқайсысын жеке тексеріңіз.

NSG-тің қолданыстағы ережелерін порталда немесе CLI-де оқып, содан кейін оларды қонақтың өз ережелерімен салыстырыңыз. Есіңізде қалған соңғы өзгеріс күшіне енген өзгеріс деп ойламаңыз.

Тұтынушылық клиент Windows брандмауэрінің астында трафикті бөгейтін сүзгі драйверін немесе өшіргішті де орнатуы мүмкін. Брандмауэр ережелері дұрыс көрінсе де порт әлі сәтсіз болса, келесі күдікті — сол қабат.

Қонақ агентін қайту жолы ретінде пайдаланыңыз

Қашықтан орындаудың екі мүмкіндігі, Run Command және Custom Script Extension, платформа агенті арқылы қонақтың ішінде жұмыс істейді. Екеуіне де RDP қажет емес, сондықтан брандмауэр қатесі оларға әсер етпейді. Екеуі де скрипттің шығысын қайтарады, бұл оларды диагностика және бір мезгілде жөндеу арнасына айналдырады.

Екеуін де өзгертудің алдында белсенді профиль мен RDP ережесін оқыңыз:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Сол профильде кіріс ережелерін қайта қосу уақытша шара, мақсат емес. Оны сессия алу үшін пайдаланып, содан кейін саңылауды дұрыс жабыңыз:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Бұл ажыратқыш профильдегі әрбір кіріс ережені ашады, тек RDP-ны емес. Сессия болғаннан кейін оны шектелген ережемен алмастырып, шынымен қалайтын параметрлерді қалпына келтіріңіз. Агент те қолжетімсіз болса, қосалқы нұсқа — сериялық консоль немесе қайта құрылған диск, және агентті сау ұстаудың практикалық себебі осы.

Сессияны жаппас бұрын саңылауды тарылтыңыз

Профильді уақытша өзгерту — осы профильдің әрбір кіріс ережесі үшін ашық ұсталған есік. Оны сіздің бастау мекенжайыңыз бен RDP портына шектелген ережемен алмастырыңыз, содан кейін профильдің көзделген күйге қайтқанын растаңыз. Мұны сессия әлі бар кезде жасаңыз, өйткені келесі қате қашықтықтан қайтарылмауы мүмкін. Өзгерту кезінде екінші әкімшілік жолды, мысалы Bastion немесе сериялық консольді, дайын ұстаңыз.

Нәтижені жұмыс станцияңыздан порт сынағымен, ал қонақтың ішінен ережелер тізімімен растаңыз:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Сынақ ұзақтығында брандмауэр журналын қосыңыз. Лақтырылған пакет туралы 3389 мен белсенді профильді атайтын бір жол сұраққа тағы бір қайта жүктеуден жылдам жауап береді.

Келесі орнатқыштың оны қайталауына жол бермеңіз

Егер сол хостта клиентті іске қосуға себеп болмаса, оны жойыңыз. Орнатылған клиент келесі жаңартуға профильді қайта жазуға тұрақты шақыру болып табылады, және келесі адам порталдан сол үзілісті жөндейді.

Бірдеңе желі параметрлерін қайта жазбас бұрын дискінің суретін алыңыз және ол қажет болмай тұрып екінші әкімшілік жолды дайын ұстаңыз.

Орнатқыштың нені өзгерткенін жазыңыз: адаптерлер, маршруттар, брандмауэр профильдері, сүзгі драйверлері және қызметтер. Бұл жазба келесі оқиғаны жаңа тергеу емес, таныс үлгіге айналдырады. VM-ге дәл бір қызметке туннель керек болса, клиентті жұмыс станцияңызға қойыңыз немесе серверге ноутбук өнімін орнатудың орнына сайт аралық байланыс құрыңыз. Тұтынушылық клиенттер ноутбуктерге арналған, ал қашықтықтан басқаратын серверіңіз олай емес.