Firwat RDP sech fréiert, wann den entferten Computer sech mat enger VPN verbënnt

Dir sidd am RDP-Fënster, den Desktop ass um Bildschierm, an Dir dréckt Connect am VPN-Client, deen op där entfernter Maschinn leeft. Verluescht Sekonnen duerno fréiert de Fënster an da geet en zou. Den Tunnel ass eropkomm, genee dat wäert de VPN-Log mellen, an dat ass dee mannst nëtzleche Fait an der ganzer Stéierung. D’Sitzung ass gestuerwen, well d’Maschinn, mat där Dir geschwat hutt, d’Manéier geännert huet, wéi se Iech äntwert, dofir kuckt de Réckwee un, ier Dir den Tunnel ufaasst.

Notéiert den Endpunkt, deen Är Sitzung tatsächlech benotzt

D’Adress, déi an Ären RDP-Client getippt gëtt, ass net onbedéngt déi Adress, op déi den entfernten Computer äntwert. NAT, en RD Gateway oder e Laaschtverdeeler virum Host kënnen se ëmschreiwen, an de Réckwee gëtt duerch déi Quelladress definéiert, déi déi entfernt Maschinn op der etabléierter Verbindung gesäit. Wann Dir hei feelt, sicht Dir eng Route, déi ni bedeelegt war.

Op dem entfernten Computer, ier d’VPN verbonnen ass, listet Dir déi etabléiert Sitzungen op a liest d’Peeradress aus der Tabell. Schreift se dann ausserhalb vun där Maschinn op, well Dir se net méi liest, nodeems d’Sitzung gefall ass.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Behandelt déi Adress wéi dat, wat erreechbar muss bleiwen. Wann et eng privat Adress op engem Management-VLAN ass, muss den Tunnel dee Wee a Rou loossen. Wann et eng ëffentlech Adress ass, muss d’Äntwert duerch déiselwecht Interface erausgoen, déi d’Ufro eragebruecht huet.

Liest d’Route, déi op dësen Endpunkt äntwert

Windows wielt eng Interface pro Destinatioun, an Find-NetRoute weist d’Entscheedung, déi en elo géif huelen. Fuert en géint d’Peeradress aus, ier Dir verbënnt, dann nach eng Kéier mam Tunnel uewen, a vergläicht den Interfaceindex an de nächste Sprong an deenen zwou Äntwerten. Eng Ännerung vun der Interface ass de ganze Feeler an enger Linn Ausgab.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

E Volltunnelprofil installéiert eng Standardroute duerch den Tunnel, sou wéi de Windows-Guide fir VPN-Routing et beschreift, dofir geet elo all Äntwert duerch d’VPN eraus an hänkt dovun of, datt déi aner Säit zréck op Äre Client routet. E Split-Tunnelprofil ass standardméisseg méi sécher, awer net immun, well eng spezifesch Route, déi d’Peeradress deckt, déi kierperlech Standardroute nach ëmmer ka schloen. Wéi och ëmmer, d’Fro ass déiselwecht: nodeems den Tunnel erop ass, léist d’Peeradress sech nach ëmmer op déi Interface op, déi d’Sitzung eragebruecht huet?

Wann net, gehéiert d’Korrektur an de Profil oder an eng explizit Ausnamroute, déi vum Besëtzer vun der VPN-Politik guttgeheescht ass. D’Routentabell vun Hand op engem Produktiounshost während enger Stéierung änneren ass de Wee, wéi eng temporär Léisung eng on dokumentéiert Konfiguratioun gëtt.

Passt d’Ännerung vum Firewallprofil op

Eng nei Interface gëtt klassifizéiert, wéi se opdaucht, an d’Klassifikatioun entscheet, géint wéi ee Firewallprofil hire Verkéier bewäert gëtt. En Tunneladapter, deen an d’Kategorie Public fält, kann ankommend RDP roueg stoppen, och wann d’Routentabell perfekt ausgesäit. Dat ass den zweeten Ausfallmodus, an en erreecht en anert Symptom: d’Route ass richteg, d’Pakete kommen un, an den Host refuséiert d’Verbindung.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Vergläicht de Profil, deen un d’Tunnelinterface gebonnen ass, mat de Profilen, op déi d’Remote Desktop-Regele geriicht sinn. Eng Regel, déi nëmme fir Domain a Private aktivéiert ass, mécht näischt fir eng Interface, déi als Public klassifizéiert ass, a keng Routekorrektur ännert dat. E puer VPN-Cliente beschränken och by Design den Zougrëff op dat lokal Subnetz, wat déiselwecht Form vun Ausfall aus enger anerer Kontroll erreecht.

Test dewiwwergank vun enger Plaz, wou Dir zréckkomme kënnt

Maacht déi ganz Sequenz vun enger Out-of-Band-Konsole oder engem zweete Managementwee, an dëser Uerdnung: bestätegt déi bestehend Sitzung, verbënnt d’VPN, öffnet eng nei Sitzung, trennt dann d’VPN a maacht nach eng op. Jiddweree Schrëtt testt en anere Iwwergank, an deen éischten, deen ausfällt, seet Iech, wéi eng Kontroll verantwortlech ass.

Plangt de Réckroll, ier Dir ufänkt, zum Beispill eng geplangte Aufgab, déi rasdial "Work VPN" /disconnect no engem festen Intervall ausféiert. Dat mécht aus enger verluerener Sitzung eng fënnefminutteg Ënnerbriechung amplaz vun engem Besuch op der Plaz, an et ass déi bëllegst Versécherung an der ganzer Prozedur.

Kommt erëm eraus, wann d’Sitzung schonn fort ass

Wann den Host schonn onerreechbar ass, stoppt nei RDP-Verbindungen aus dem selwechte Client ze probéieren a benotzt de Recuperatiounskanal, deen d’Ëmfeld schonn huet: en RD Gateway, eng Hypervisor-Konsole oder eng Out-of-Band-Management-Interface. Frot d’Persoun mat Konsolzougrëff, déiselwecht Befehler Find-NetRoute an Get-NetConnectionProfile auszeféieren, sou datt d’Beweiser d’Recuperatioun iwwerliewen.

Duerno entscheet déi permanent Reegelung an net déi séierst. Entweder gëtt de Managementwee ausdrécklech vum VPN-Profil preservéiert, oder de Management wiesselt op e Kanal, deen net vun der Standardroute vum Host ofhänkt. Béides ass haltbar; eng Hostroute mat enger gerotener Gateway ass et net. Schreift op, wéi eng Dir gewielt hutt, a notéiert d’Peeradress, déi misst iwwerliewen.