Remote-Desktop iwwer eng VPN: an wéien Feeler sidd Dir?

Ären Tunnel ass un, d'intern Wiki luedt, an den Remote-Desktop refuséiert ëmmer nach ze verbannen. Dës Kombinatioun ass normal, well d'VPN eng Route bis zum Host gëtt, wärend den Desktop-Service muss lauschteren, vun enger eegener Firewall erlaabt ginn an bereet sinn, de Kont z'authentifizéieren. Véier Feelerstufe leien tëscht engem funktionéierende Tunnel an enger brauchbarer Sessioun, an all eenzel feelt mat enger anerer Meldung. Liest d'Meldung als éischt, well se d'Stuf nennt.

Véier Feeler, déi wéi een ausgesinn

D'Stufe sinn der Rei no: den Numm gëtt op déi privat Adress opgeléist, déi den Design virgesäit, de Port äntwert op en TCP-Handshake, den Host akzeptéiert d'Verbindung no enger eegener Politik, an d'Umeldung an d'Sessioun geléngt. All Stuf mécht déi nächst ontestbar, dofir bréngt d'Änneren vun den RDP-Astellunge virun der Berouegung vum Netz just Kaméidi. De Symptom gesäit aus der Siicht vum Benotzer an alle véier Fäll d'selwecht aus. Nëmmen d'Meldung vum Client trennt se.

Eng funktionéierend intern Websäit beweist keng vun de véier. Si beweist, datt en Host aus demselwecht Netz op engem anere Port mat engem anere Service geäntwert huet. Hält dat als Beweis iwwer d'Routing an net méi.

Test am Uerdnung an schreift d'Resultat op. Op den Umeldungsbildschierm ze sprangen, well de Port geäntwert huet, ass de Wee, fir en Nomëtteg mat engem Firewallproblem ze verbréngen, deen den éischte Schrëtt schonn opgespäichert huet.

Lauschtert eppes op 3389?

Fänkt mam Numm un, well en Numm, deen op déi falsch Adress opgeléist gëtt, all weider Test ongëlteg mécht. Frot den Opléiser vum Tunnel, wat den Numm bedeit, a vergläicht dann d'Äntwert mat der privater Adress, déi den Design virgesäit, net mat enger erfollegräicher Äntwert. En Numm, deen op eng ëffentlech Adress opgeléist gëtt, ass de ganzen Problem, an eng RDP-Ännerung wäert en net reparéieren:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Test dann de Port amplaz den Host. En ofgeschlossenen TCP-Handshake op 3389 trennt d'Erreechbarkeet vun allem, wat driwwer läit:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Féiert dësen Test aus dem LAN an aus dem Tunnel duerch, well en Ënnerscheed tëscht deenen zwou Resultater de Feeler op de VPN-Wee lokaliséiert. Zwee Firewalle leien um Wee a si liicht ze verwiesselen: d'Netz muss der Tunneladress vum Client erlaben, den Host z'erreechen, an d'Firewall vum Host selwer muss déiselwecht Quell op dem lauschterende Port erlaben. Eng Regel, déi op de LAN-Subnetz beschränkt ass, deckt de VPN-Client-Pool net of, an dat ass déi heefegst Ursaach fir en Timeout, vun deem nëmmen entfernte Benotzer beriichten. Kontrolléiert de Geltungsberäich, net d'Existenz vun der Regel.

De Réckwee verdéngt déiselwecht Kontroll. Äntwerten brauchen eng Route zréck an de Client-Pool an net an d'LAN, an eng Iwwersetzung virum Host ännert d'Quell, déi Äre Log weist. Wann de Port an eng Richtung äntwert an an déi aner net, ass déi fehlend Halschent meeschtens de Réckwee.

Liest d'Meldung, ier Dir d'Konfiguratioun liest

Déi drëtt Stuf ass den Host, deen d'Verbindung no enger eegener Politik refuséiert, wat dacks wéi e Port ausgesäit, deen direkt opgeet a sech zoumaacht. Eppes huet geäntwert, an dat ass nëtzlech Informatioun amplaz Stëllt. Wann den Handshake fäerdeg war an d'Sessioun direkt gestuerwen ass, ass d'Netz an der Rei an den Host entscheet. Kuckt d'Berechtegungen vum Remote-Desktop, ier Dir d'Netz nach eng Kéier beréiert.

D'Funktioun kann fir de Maschinn aktivéiert sinn, wärend den Zougang op bestëmmte Gruppen agegrenzt ass, an de Lauschterer kann esou gebonne sinn, datt en d'Adress ausgeschléisst, iwwer déi Dir komm sidd. D'Authentifikatioun op Netzwierkniveau setzt en Dier derbäi, dat feelt, ier den Desktop luedt, an hire Feelertext ënnerscheet sech vun engem falsche Passwuert. Vergläicht d'Meldung vum Client mam Evenement-Log vum Host, well d'Meldung den Dier nennt an de Log de Kont.

D'Umeldung an d'Sessioun ass eng eege Grenz

D'Authentifikatioun gehéiert zum Desktop-Service, net zur VPN. D'Identitéit vum Tunnel an de Desktop-Kont si getrennt Umeldungsdaten mat getrennte Spärpolitiken, dofir beweist e funktionéierenden Tunnel nëmmen, datt den Tunnel Iech ugeholl huet. D'Späre vum Desktop-Kont stéiert den Tunnel net, an ëmgedréint ass et och wouer.

Hält béides intakt. Wann déi privat Route feelt, reparéiert d'Route, well de Lauschterer op den Internet ze publizéieren e Erreechbarkeetsfeeler géint en oppenen Desktop austauscht. Schwächt och net d'Identitéitskontrollen vun der Sessioun, fir un enger Zertifikatswarnung virbäizukommen, déi zur selwechter Zäit opgetrueden ass. En eegene-signéierten Zertifikat op engem RDP-Lauschterer produzéiert eng Warnung vum Design un, dofir ass et z'akzeptéieren eng Entscheedung an net e Schrëtt.

Zielt d'Versich, ier Dir nach eng Kéier probéiert. D'Spärschwellen vum Desktop zielen feelgeschloen Umeldungen getrennt vun de VPN-Feeler, an e Client, deen duerch en Timer nach eng Kéier probéiert, kann d'Schwell iwwerschreiden, wärend Dir ëmmer nach eng Regel ännert. Dat ass dee selwechte parallele Widderhuelungsmechanismus, deen d'Konten no enger Passwuertännerung spärt.

Wat d'Sessioun ka beweegen, a wou et bleift

Léiert den approuvéierte Ofmeldungsowlaaf, ier Dir en braucht. D'Fënster zoumaachen trennt vläicht nëmmen d'Vue, wärend d'Sessioun no enger konfiguréierter Politik weiderleeft, wat op engem gedeelten oder auditéeierten Host zielt. Mellt Iech aus der Sessioun of, wann d'Politik dat erwaart.

Entscheet dann, wat d'Sessioun droe kann, well Clipboard, ëmgeleet Laufwierker, Drécker-Ëmleedung a Fichierstransfer Donnéeën tëscht de lokalen an entfernte Systemer beweegen, wou d'Politik et erlaabt. Eng publizéiert Applikatioun, déi op der anerer Säit lafe kann, ass net automatesch eng Grenz ouni Download, an eng Sessioun, déi nëmme liesbar ausgesäit, kann nach ëmmer e Clipboard droen. Test déi richteg Aufgab an net d'Verbindung: maacht de Fichier op, benotzt d'Applikatioun a bestätegt d'Ëmleedung, déi Dir braucht. D'Microsoft-Leedung fir en Remote-Desktop vun dobaussen z'erreechen beschreift déi ënnerstëtzte Expositiounsoptiounen, an et ass eng besser Referenz wéi en ëffentleche Lauschterer, deen ënner Drock dobäi koum.