VPN клиентин орноткондон кийин RDP токтойбу? Күнөө брандмауэрде

Керектөөчү VPN клиенти орнотулуп бүткөндөн кийин бир нече мүнөт өтсө да портал VM иштеп жатат деп айтат, коомдук IP өзгөргөн жок, ал эми RDP жооп бербейт. Адамдар адатта VM кулады же тармактын коопсуздук тобу өзгөрдү деп ойлошот, бирок экөө тең адатта туура эмес. Өзгөргөн нерсе — машина турган Windows брандмауэринин профили, жана мурун дал келген RDP эрежеси эми дал келбейт. Оңдоо RDPге көз каранды эмес жол менен shell алуудан башталат.

VM иштеп жатат; эреже дал келүүнү токтотту

Windowsтагы брандмауэр эрежелери профилдер жыйындысын алып жүрөт, жана Жеке же Домен профилине чектелген эреженин машина Коомдук профилде турганда эч кандай таасири жок. VPN орноткучтар адаптерлер менен маршруттарды кошот, жана алардын көбү каптал таасир катары Коомдукту катаалдатат. Угуучу 3389га байланган бойдон калат жана пакеттер дагы эле келет, бирок профилдин дал келбестиги аларды ыргытат.

Кубат абалы жана жеткиликтүүлүк өзүнчө фактылар, жана порту жабык иштеп жаткан VM сырттан дал кулаган VM сыяктуу көрүнөт.

Бир нерсени өзгөртүүдөн мурун портту текшериңиз. 3389га туташуу аракети убакыт чегине жетсе, ал эми конок агентинин буйругу дагы эле чыгарылыш кайтарса, бул хосттун брандмауэрине шилтейт. Порт жооп берсе да RDP дагы эле ийгиликсиз болсо, бузулуу тармак катмарынан жогору, жана бул оңдоо ага тийбейт. Эки учурдун кайсынысын көргөнүңүздү жазып алыңыз, анткени калган план ошого байланыштуу.

Эки дарбаза көз карандысыз жабылат

Алгач платформанын саясаты иштейт: тармактын коопсуздук тобу пакетти коноктон мурун көрөт. Бул тартип хост пакетти таштаганда кемчиликсиз NSG жазуусун пайдасыз кылат, ал эми платформа баш тартканда ачык хост эрежесин пайдасыз кылат. Аларды өзүнчө дарбазалар деп карап, ар бирин өзүнчө текшериңиз.

NSGнин күчтөгү эрежелерин порталда же CLIде окуп, анан аларды коноктун өз эрежелери менен салыштырыңыз. Эсиңизде калган акыркы өзгөртүү күчүнө кирген өзгөртүү деп ойлобоңуз.

Керектөөчү клиент Windows брандмауэринин астында трафикти тоскон чыпка драйверин же өчүргүчтү да орнотушу мүмкүн. Брандмауэр эрежелери туура көрүнсө да порт дагы эле ийгиликсиз болсо, кийинки шектүү — ошол катмар.

Конок агентин кайтуу жолу катары колдонуңуз

Алыстан аткаруунун эки мүмкүнчүлүгү, Run Command жана Custom Script Extension, платформа агенти аркылуу коноктун ичинде иштейт. Экөөнө тең RDP керек эмес, ошондуктан брандмауэрдин катасы аларга таасир этпейт. Экөө тең скрипттин чыгарылышын кайтарат, бул аларды диагностика жана ошол эле учурда оңдоо каналына айландырат.

Экөөнүн бирин өзгөртүүдөн мурун активдүү профилди жана RDP эрежесин окуңуз:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Ошол профилде кирүү эрежелерин кайра күйгүзүү убактылуу чара, максат эмес. Аны сессия алуу үчүн колдонуп, анан кемтикти туура жабыңыз:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Ошол которгуч профилдеги ар бир кирүү эрежесин ачат, RDPни гана эмес. Сессия болгондон кийин аны чектелген эреже менен алмаштырып, чын эле каалаган жөндөөлөрдү калыбына келтириңиз. Агент да жеткиликсиз болсо, камдык вариант — сериялык консоль же кайра курулган диск, жана агентти соо кармоонун практикалык себеби ушул.

Сессияны жаппас мурун кемтикти тарчытаңыз

Профилди убактылуу өзгөртүү — ошол профилдин ар бир кирүү эрежеси үчүн ачык кармалган эшик. Аны сиздин башат дарегиңиз жана RDP порту менен чектелген эреже менен алмаштырыңыз, анан профил көздөлгөн абалга кайтканын ырастаңыз. Муну сессия дагы бар кезде жасаңыз, анткени кийинки ката алыстан кайтарылбашы мүмкүн. Өзгөртүү учурунда экинчи административдик жолду, мисалы Bastion же сериялык консолду, даяр кармаңыз.

Жыйынтыкты жумуш станцияңыздан порт сыноосу менен, ал эми коноктун ичинен эрежелер тизмеси менен ырастаңыз:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Сыноо убагында брандмауэр журналын күйгүзүңүз. Ыргытылган пакет жөнүндө 3389ду жана активдүү профилди атаган бир сап дагы бир кайра жүктөөдөн тезирээк жооп берет.

Кийинки орноткучтун муну кайталашына жол бербеңиз

Эгер ошол хостто клиентти иштетүүгө себеп жок болсо, аны алып салыңыз. Орнотулган клиент кийинки жаңыртууга профилди кайра жазууга туруктуу чакыруу болуп саналат, жана кийинки адам порталдан ошол эле үзгүлтүктү оңдойт.

Бир нерсе тармак жөндөөлөрүн кайра жазбастан мурун дисктин сүрөтүн тартыңыз жана ал керек боло электе экинчи административдик жолду даяр кармаңыз.

Орноткуч эмнени өзгөрткөнүн жазыңыз: адаптерлер, маршруттар, брандмауэр профилдери, чыпка драйверлери жана кызматтар. Бул жазуу кийинки окуяны жаңы иликтөөнүн ордуна тааныш үлгүгө айландырат. VMге так бир кызматка туннель керек болсо, клиентти жумуш станцияңызга коюңуз же серверге ноутбук үчүн продукт орнотуунун ордуна сайт аралык байланыш куруңуз. Керектөөчү клиенттер ноутбуктарга арналган, ал эми алыстан башкарган сервериңиз андай эмес.