VPN을 통한 원격 데스크톱: 어떤 실패 단계에 있습니까?

터널은 올라가고 내부 위키는 로드되지만 원격 데스크톱은 여전히 연결을 거부합니다. 이 조합은 정상인데, VPN은 호스트로 가는 경로를 제공하고, 원격 데스크톱 서비스는 수신 대기 중이어야 하며 자체 방화벽에서 허용되고 계정을 인증할 준비가 되어 있어야 하기 때문입니다. 정상 터널과 사용 가능한 세션 사이에는 네 가지 실패 단계가 있고 각각 다른 메시지로 실패합니다. 단계의 이름이 그 안에 있으므로 먼저 메시지를 읽으십시오.

하나처럼 보이는 네 가지 실패

단계에는 순서가 있는데, 이름이 설계가 의도한 사설 주소로 확인되고, 포트가 TCP 핸드셰이크에 응답하며, 호스트가 자체 정책에 따라 연결을 허용하고, 세션 로그인이 성공합니다. 각 단계는 다음 단계를 시험할 수 없게 만들기 때문에 네트워크가 정리되기 전에 RDP 설정을 바꾸면 소음만 생깁니다. 사용자 쪽에서 보이는 증상은 네 경우 모두 같습니다. 이를 구분하는 것은 클라이언트의 메시지뿐입니다.

작동하는 내부 웹사이트는 네 가지 중 어느 것도 증명하지 않습니다. 같은 네트워크의 호스트가 다른 포트에서 다른 서비스로 응답했다는 것만 증명합니다. 그것은 라우팅에 관한 증거로만 취급하십시오.

순서대로 시험하고 결과를 기록하십시오. 포트가 응답했다고 로그인 화면으로 뛰어드는 것은 첫 단계에서 이미 찾아낸 방화벽 문제에 오후를 통째로 쓰는 방법입니다.

3389에서 무언가 수신 대기 중입니까?

잘못된 주소로 확인되는 이름은 이후의 모든 시험을 무효로 만들기 때문에 이름부터 시작하십시오. 터널의 확인자에게 이름의 의미를 묻고, 그 답을 성공 응답이 아니라 설계가 의도한 사설 주소와 비교하십시오. 공용 주소로 확인되는 이름이라면 그것이 문제의 전부이며 어떤 RDP 변경도 고치지 못합니다.

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

다음으로 호스트가 아니라 포트를 시험하십시오. 3389에서 완료된 TCP 핸드셰이크는 도달성을 그 위의 모든 것과 분리합니다.

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

두 결과의 차이가 결함을 VPN 경로로 한정하기 때문에 이 시험을 LAN에서 그리고 터널에서 실행하십시오. 경로에는 방화벽이 두 개 있고 이를 혼동하기 쉬운데, 네트워크는 클라이언트의 터널 주소가 호스트에 도달하도록 허용해야 하고, 호스트 자체 방화벽은 같은 출처를 수신 대기 포트에서 허용해야 합니다. LAN 서브넷으로 제한된 규칙은 VPN 클라이언트 풀을 포함하지 않으며, 이것이 원격 사용자만 보고하는 시간 초과의 가장 흔한 원인입니다. 규칙의 존재가 아니라 적용 범위를 확인하십시오.

반환 경로도 같은 확인을 받을 자격이 있습니다. 응답에는 LAN이 아니라 클라이언트 풀로 돌아가는 경로가 필요하며, 호스트 앞의 변환은 로그에 표시될 출처를 바꿉니다. 포트가 한 방향으로만 응답한다면 빠진 절반은 보통 반환 경로입니다.

설정을 읽기 전에 메시지를 읽으십시오

세 번째 단계는 호스트가 자체 정책으로 연결을 거부하는 것이며, 이는 즉시 열렸다 닫히는 포트처럼 보이는 경우가 많습니다. 무언가 응답했고 그것은 침묵보다 유용한 정보입니다. 핸드셰이크가 완료되었는데 세션이 즉시 죽었다면 네트워크는 정상이고 호스트가 결정하는 것입니다. 네트워크를 다시 건드리기 전에 원격 데스크톱 권한을 확인하십시오.

기능이 머신에 대해 사용 설정되어 있어도 액세스가 특정 그룹으로 제한될 수 있고, 수신기는 당신이 도착한 주소를 제외하는 방식으로 바인딩될 수 있습니다. 네트워크 수준 인증은 데스크톱이 로드되기 전에 실패하는 게이트를 추가하며, 그 오류 텍스트는 잘못된 암호와 다릅니다. 클라이언트의 메시지는 게이트를, 호스트의 이벤트 로그는 계정을 지목하므로 둘을 비교하십시오.

세션 로그인은 그 자체의 경계입니다

인증은 VPN이 아니라 원격 데스크톱 서비스에 속합니다. 터널의 신원과 데스크톱 계정은 별도의 자격 증명이고 잠금 정책도 별도이므로 작동하는 터널은 터널이 당신을 받아들였다는 것만 증명합니다. 데스크톱 계정을 잠가도 터널은 방해받지 않으며 그 반대도 마찬가지입니다.

둘 다 온전하게 유지하십시오. 사설 경로가 없으면, 수신기를 인터넷에 공개하면 도달성 버그를 노출된 데스크톱과 맞바꾸는 셈이므로 경로를 고치십시오. 동시에 나타난 인증서 경고를 넘기려고 세션의 신원 확인을 약화시켜서도 안 됩니다. RDP 수신기의 자체 서명 인증서는 설계상 경고를 내므로, 그것을 받아들이는 것은 단계가 아니라 결정입니다.

다시 시도하기 전에 시도 횟수를 세십시오. 데스크톱 잠금 임계값은 로그인 실패를 VPN 실패와 별도로 계산하며, 타이머로 다시 시도하는 클라이언트는 당신이 아직 규칙을 편집하는 동안 임계값을 넘을 수 있습니다. 암호를 바꾼 뒤 계정을 잠그는 것과 같은 병렬 재시도 메커니즘입니다.

세션이 옮길 수 있는 것, 그리고 남는 것

필요해지기 전에 승인된 로그아웃 절차를 배우십시오. 창을 닫는 것은 보기만 끊을 수 있고 세션은 설정된 정책에 따라 계속 실행되며, 이는 공유 또는 감사 대상 호스트에서 중요합니다. 정책이 기대할 때 세션 내부에서 로그아웃하십시오.

클립보드, 리디렉션된 드라이브, 프린터 리디렉션, 파일 전송은 정책이 허용하는 곳에서 로컬과 원격 시스템 사이로 데이터를 옮기므로 그다음 세션이 무엇을 운반할 수 있는지 결정하십시오. 반대편에서 실행되는 게시된 애플리케이션은 자동으로 다운로드 없는 경계가 아니며, 읽기 전용처럼 보이는 세션도 클립보드를 운반할 수 있습니다. 파일을 열고, 애플리케이션을 사용하고, 필요한 리디렉션을 확인하는 등 연결이 아니라 실제 작업을 시험하십시오. 외부에서 원격 데스크톱에 도달하는 방법에 관한 Microsoft 지침은 지원되는 노출 옵션을 설명하며, 압박 속에서 추가한 공용 수신기보다 좋은 참고 자료입니다.