RDP hält no der Installatioun vun engem VPN-Client op? D’Firewall ass schold

E puer Minutten nodeems e Konsumente-VPN-Client d’Installatioun fäerdeg huet, seet de Portal nach ëmmer, d’VM leeft, d’ëffentlech IP huet sech net geännert, an RDP äntwert net. D’Leit unhuelen normalerweis, d’VM wier ofgestierzt oder d’Netzwierksécherheetsgrupp hätt sech geännert, an dat ass meeschtens falsch. Wat sech geännert huet, ass de Windows-Firewallprofil, an deem d’Maschinn steet, an d’RDP-Regel, déi fréier gepasst huet, passt net méi. D’Reparatur fänkt domat un, eng Shell iwwer ee Wee ze kréien, deen net vun RDP ofhänkt.

D’VM leeft; d’Regel passt net méi

Firewallregele vu Windows droen e Profilset, an eng Regel, déi op Privat oder Domain limitéiert ass, huet keng Wierkung, soulaang d’Maschinn am ëffentleche Profil steet. VPN-Installateure fügen Adapter a Ruten derbäi, a méi wéi ee vun hinnen haart den ëffentlechen als Nieweneffekt. De Lauschterer bleift un 3389 gebonnen an d’Pakete kommen nach ëmmer un, awer d’Profildiskrepanz verwerft se.

Stroumzoustand a Erreechbarkeet sinn getrennt Fakten, an eng lafend VM mat engem zouenen Port gesäit vun dobaussen genee aus wéi eng ofgestierzten.

Test de Port, ier s de eppes äners. Eng Verbindung op 3389, déi an en Timeout leeft, wärend e Kommando vum Gaaschtagent nach ëmmer Ausgab zréckgëtt, weist op d’Firewall vum Host. E Port, deen äntwert, wärend RDP nach ëmmer feelt, heescht, datt de Feeler iwwer der Netzwierkschicht sëtzt, an dës Reparatur wäert en net beréieren. Nottéier, wéi ee vun deenen zwee Fäll s de gesinn hues, well de Rescht vum Plang dovun ofhänkt.

Zwee Paarten zoumaachen onofhängeg

D’Plattformspolitik leeft als éischt: d’Netzwierksécherheetsgrupp gesäit de Paket virum Gaascht. Dës Reiefolleg mécht en perfekten NSG-Antrag notzlos, wann den Host de Paket verwerft, an eng oppe Hostregel notzlos, wann d’Plattform se verweigert. Behuel se wéi getrennt Paarten a test alleng eleng.

Lies d’effektiv Regelen vum NSG am Portal oder an der CLI a vergläich se duerno mat de Regele vum Gaascht selwer. Huelt net un, datt déi lescht Ännerung, un déi s de denkst, déi ass, déi a Kraaft getrueden ass.

E Konsumenteclient kann och en Filterdriver oder e Kill-Switch installéieren, dee Verkéier ënner der Windows-Firewall blockéiert. Wann d’Firewallregele richteg ausgesinn an de Port nach ëmmer feelt, ass déi Schicht den nächsten Verdächtegen.

Benotz de Gaaschtagent als Wee zréck

Zwou Funktiounen zur Fernausféierung, Run Command an d’Custom Script Extension, lafen am Gaascht iwwer den Agent vun der Plattform. Keng vun deenen zwou brauch RDP, dofir betrëfft de Firewallfeeler se net. Béid ginn d’Ausgab vum Skript zréck, wat se zu engem Diagnose- a gläichzäiteg Reparaturkanal mécht.

Lies den aktive Profil an d’RDP-Regel, ier s ee vun deenen zwou ännners:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

D’Regelen erëm anzeschalten op deem Profil ass eng temporär Mesure, keen Zil. Benotz se, fir eng Sëtzung ze kréien, a schléiss duerno de Lach richteg:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Dee Schalter mécht all erakommend Regel vum Profil op, net just RDP. Soubal s eng Sëtzung hues, ersetze se duerch eng limitéiert Regel a stell d’Astellungen erëm hier, déi s wierklech wëlls. Wann den Agent och net disponibel ass, ass eng seriell Konsole oder eng nei gebaute Plack de Réckwee, an dat ass de praktesche Grond, den Agent gesond ze halen.

Enk d’Lach an, ier s d’Sëtzung zouméchs

Déi temporär Profilännerung ass eng Dier, déi fir all erakommend Regel vun deem Profil opgehal gëtt. Ersetz se duerch eng Regel, déi op deng Quelladress an den RDP-Port limitéiert ass, a bestäteg duerno, datt de Profil erëm a sengem virgesinnenen Zoustand ass. Maach dat, soulaang s d’Sëtzung nach hues, well de nächste Feeler ass vläicht net aus der Ferne ëmzemaachen. Hal eng zweet Verwaltungswee wéi Bastion oder eng seriell Konsole bereet wärend der Ännerung.

Bestäteg d’Resultat vun denger Aarbechtsplatz mat engem Porttest, an aus dem Gaascht eraus mat der Regellëscht:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Schalt d’Firewall-Logging fir d’Dauer vum Test an. Eng eenzeg Zeil iwwer e verworfene Paket, déi 3389 an den aktive Profil nennt, äntwert d’Fro méi séier wéi nach eng Kéier e Neistart.

Verhënnert, datt den nächsten Installateur et nach eng Kéier mécht

Wann deen Host kee Grond huet, de Client lafen ze loossen, deinstalléier en. En installéierte Client ass eng stänneg Invitatioun fir den nächsten Update, de Profil nach eng Kéier ëmzeschreiwen, an déi nächst Persoun wäert dee selwechten Ausfall vum Portal aus debuggen.

Maach e Schnappschoss vun der Plack, ier s eppes d’Netzwierkastellungen ëmmer nach schreiwen léisst, a hal eng zweet Verwaltungswee bereet, ier s se brauchs.

Nottéier, wat den Installateur geännert huet: Adapter, Ruten, Firewallprofiler, Filterdriver a Servicer. Dee Rekord mécht de nächsten Tëschefall zu engem bekannte Muster amplaz enger neier Enquête. Wann d’VM en Tunnel zu genee engerem Service brauch, setz de Client op deng Aarbechtsplatz oder bau eng Plaz-zu-Plaz-Verbindung, amplaz e Laptopprodukt um Server z’installéieren. Konsumenteclienten zielen op Laptops, an e Server, deen s aus der Ferne verwalt, ass net dat.