VPN аркылуу алыскы иш тактасы: кайсы катадасыз?

Туннелиңиз күйүк, ички вики жүктөлөт, бирок алыскы иш тактасы кошулуудан баш тартат. Бул айкалыш кадимки, анткени VPN хостко маршрут берет, ал эми иш такта кызматы угууга, өз firewall-у менен уруксат алууга жана каттоо эсебин аутентификациялоого даяр болушу керек. Иштеген туннель менен пайдаланууга жарактуу сессиянын ортосунда төрт ийгиликсиздик баскычы бар жана ар бири башка билдирүү менен ийгиликсиз болот. Адегенде билдирүүнү окуңуз, анткени ал баскычтын атын атайт.

Бирдей көрүнгөн төрт ийгиликсиздик

Баскычтар ирети менен: ат долбоор көздөгөн жеке дарекке чечилет, порт TCP кол алышууга жооп берет, хост өз саясаты боюнча байланышты кабыл алат жана сессияга кирүү ийгиликтүү болот. Ар бир баскыч кийинкисин текшерүүгө жарамсыз кылат, ошондуктан тармак иреттелмей туруп RDP жөндөөлөрүн өзгөртүү тек шум чыгарат. Симптом пайдалануучу тарабынан төрт учурда тең бирдей көрүнөт. Аларды тек кардардын билдирүүсү ажыратат.

Иштеген ички веб-сайт төртөөнүн бирин да далилдебейт. Ал ошол эле тармактагы хост башка портто башка кызмат менен жооп бергенин далилдейт. Муну маршруттоо тууралуу далил катары кабыл алыңыз, андан ашык эмес.

Ирети менен текшерип, жыйынтыгын жазыңыз. Порт жооп берди деп кирүү экранына секирүү — биринчи кадам тапкан firewall көйгөйүнө жарым күндү сарптоонун жолу.

3389 портунда бир нерсе угуп турабы?

Аттан баштаңыз, анткени туура эмес дарекке чечилген ат кийинки бардык текшерүүлөрдү жараксыз кылат. Туннелдин чечүүчүсүнөн аттын эмнени билдирерин сураңыз, анан жоопту ийгиликтүү жооп менен эмес, долбоор көздөгөн жеке дарек менен салыштырыңыз. Коомдук дарекке чечилген ат — бүткүл көйгөй, аны эч бир RDP өзгөртүүсү оңдобойт:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Анан хостту эмес, портту текшериңиз. 3389-до бүткөн TCP кол алышуу жеткиликтүүлүктү анын үстүндөгү бардык нерседен ажыратат:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Бул текшерүүнү LAN-дан жана туннелден жүргүзүңүз, анткени эки жыйынтыктын айырмасы катаны VPN маршрутуна локалдаштырат. Маршрутта эки firewall бар жана аларды чаташтыруу оңой: тармак кардардын туннель дарегине хостко жетүүгө уруксат бериши керек, ал эми хосттун өз firewall-у ошол эле булакка угуучу портто уруксат бериши керек. LAN ички тармагы менен чектелген эреже VPN кардарлар пулун камтыбайт жана бул убакыттын өтүшүнөн тек алыскы пайдалануучулар кабарлаган эң кеңири тараган себеп. Эреженин бар-жогун эмес, камтуу аймагын текшериңиз.

Кайтуу жолу да ушундай текшерүүгө татыктуу. Жоопторго кардарлар пулуна кайтуу маршруту керек, LAN-га эмес, ал эми хосттун алдындагы трансляция журналыңыз көрсөтө турган булакты өзгөртөт. Порт бир багытта жооп берип, экинчисинде бербесе, жетишпеген жарымы адатта кайтуу жолу болот.

Конфигурацияны окуудан мурун билдирүүнү окуңуз

Үчүнчү баскыч — хосттун байланышты өз саясаты боюнча четке кагышы, ал көбүнчө дароо ачылып-жабылган портко окшош. Бир нерсе жооп берди жана бул үнсүздүктөн пайдалуу маалымат. Кол алышуу бүтүп, сессия дароо өлсө, тармак жакшы жана чечимди хост кабыл алат. Тармакка кайра тийүүдөн мурун алыскы иш такта уруксаттарын караңыз.

Мүмкүнчүлүк машина үчүн күйүк болушу мүмкүн, бирок кирүү белгилүү топтор менен чектелген, ал эми угуучу сиз келген даректи кошпогондой байланган болушу мүмкүн. Тармак деңгээлиндеги аутентификация иш такта жүктөлө электе эле ийгиликсиз болгон дарбаза кошот жана анын ката тексти туура эмес сырсөздөн айырмаланат. Кардардын билдирүүсүн хосттун окуялар журналы менен салыштырыңыз, анткени билдирүү дарбазаны, журнал каттоо эсебин атайт.

Сессияга кирүү — өзүнүн чек арасы

Аутентификация иш такта кызматына таандык, VPN-ге эмес. Туннелдин инсандыгы жана иш такта эсеби өз-өзүнчө блоктоо саясаттары бар өз-өзүнчө ыйгарым укуктар, ошондуктан иштеген туннель туннелдин сизди кабыл алганын гана далилдейт. Иш такта эсебин блоктоо туннелге тоскоол болбойт, тескерисинче да туура.

Экөөнү тең бүтүн сактаңыз. Жеке маршрут жок болсо, маршрутту оңдоңуз, анткени угуучуну интернетке жарыялоо жеткиликтүүлүк катасын ачык иш тактага алмаштырат. Ошол эле учурда пайда болгон сертификат эскертүүсүнөн өтүү үчүн сессиянын инсандык текшерүүлөрүн да алсыратпаңыз. RDP угуучусунда өзү кол койгон сертификат долбоор боюнча эскертүү берет, ошондуктан аны кабыл алуу — кадам эмес, чечим.

Кайталаар мурун аракеттерди санаңыз. Иш тактанын блоктоо босоголору ийгиликсиз кирүүлөрдү VPN ийгиликсиздиктеринен өз-өзүнчө санайт жана таймер боюнча кайталап аракет кылган кардар сиз эрежени оңдоп жатканда босогодон ашып кетиши мүмкүн. Бул сырсөз алмашкандан кийин эсептерди блоктогон ошол эле параллелдүү кайталоо механизми.

Сессия эмнени ташышы мүмкүн жана ал кайда калат

Керек болоор алдында бекитилген чыгуу тартибин үйрөнүңүз. Терезени жабуу көрүнүштү гана ажыратышы мүмкүн, сессия өзүнүн конфигурацияланган саясаты боюнча иштей берет, бул бөлүшүлгөн же аудиттелген хостто маанилүү. Саясат күткөндө сессиянын ичинен чыгыңыз.

Анан сессия эмнени ташышы мүмкүн экенин чечиңиз, анткени буфер, кайра багытталган дисктер, принтерди кайра багыттоо жана файл өткөрүү саясат уруксат берген жерде жергиликтүү жана алыскы системалардын ортосунда маалыматты жылдырат. Аркы тарапта иштеген жарыяланган колдонмо автоматтык түрдө жүктөөсүз чек ара эмес жана окууга гана арналгандай көрүнгөн сессия да буфер ташышы мүмкүн. Байланышты эмес, чыныгы тапшырманы текшериңиз: файлды ачыңыз, колдонмону пайдаланыңыз жана керектүү кайра багыттоону ырастаңыз. Сырттан алыскы иш тактасына жетүү боюнча Microsoft көрсөтмөсү колдоого алынган ачыктоо варианттарын сүрөттөйт жана басым астында кошулган коомдук угуучудан жакшыраак булак.