RDP sustoja įdiegus VPN klientą? Kaltas ugniasienė

Praėjus kelioms minutėms po to, kai vartotojiško VPN klientas baigia diegimą, portalas vis dar sako, kad VM veikia, viešasis IP nepasikeitė, o RDP neatsiliepia. Žmonės paprastai mano, kad VM sugedo arba pasikeitė tinklo saugos grupė, ir abu dažniausiai neteisingi. Pasikeitė Windows ugniasienės profilis, kuriame yra mašina, o RDP taisyklė, kuri anksčiau atitiko, nebeatitinka. Taisymas pradedamas gaunant apvalkalą keliu, kuris nepriklauso nuo RDP.

VM veikia; taisyklė nustojo atitikti

Windows ugniasienės taisyklės turi profilių rinkinį, o taisyklė, apribota privataus ar domeno profilio, neturi jokio poveikio, kol mašina yra viešajame profilyje. VPN diegėjai prideda adapterius ir maršrutus, ir daugelis jų kaip šalutinį poveikį sugriežtina viešąjį profilį. Klausytojas lieka susietas su 3389, o paketai vis dar ateina, bet profilio neatitikimas juos išmeta.

Maitinimo būsena ir pasiekiamumas yra atskiri faktai, o veikianti VM su uždaru prievadu iš išorės atrodo lygiai taip pat kaip sugedusi.

Patikrinkite prievadą prieš ką nors keisdami. Bandymas jungtis prie 3389, kuris baigiasi laiko limitu, kol svečio agento komanda dar grąžina išvestį, rodo į hosto ugniasienę. Prievadas, kuris atsako, bet RDP vis tiek nepavyksta, reiškia, kad gedimas yra aukščiau tinklo sluoksnio, ir šis taisymas jo nelies. Užsirašykite, kurį iš dviejų atvejų matėte, nes nuo to priklauso likęs planas.

Dveji vartai užsidaro nepriklausomai

Pirmiausia veikia platformos politika: tinklo saugos grupė mato paketą anksčiau nei svečias. Ši tvarka daro tobulą NSG įrašą nenaudingą, kai hostas išmeta paketą, o atvirą hosto taisyklę nenaudingą, kai platforma ją atmeta. Traktuokite juos kaip atskirus vartus ir kiekvienus bandykite atskirai.

Perskaitykite galiojančias NSG taisykles portale arba CLI, tada palyginkite jas su paties svečio taisyklėmis. Nepamanykite, kad paskutinis prisimintas pakeitimas yra tas, kuris įsigaliojo.

Vartotojiškas klientas taip pat gali įdiegti filtro tvarkyklę arba kill switch, kuris blokuoja srautą žemiau Windows ugniasienės. Jei ugniasienės taisyklės atrodo teisingos, o prievadas vis tiek nepavyksta, kitas įtariamasis yra šis sluoksnis.

Naudokite svečio agentą kaip grįžimo kelią

Dvi nuotolinio vykdymo funkcijos, Run Command ir Custom Script Extension, veikia svečio viduje per platformos agentą. Nė vienai nereikia RDP, todėl ugniasienės klaida joms neturi įtakos. Abi grąžina scenarijaus išvestį, todėl tampa diagnostikos ir kartu taisymo kanalu.

Perskaitykite aktyvų profilį ir RDP taisyklę prieš keisdami bet kurią iš jų:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Įeinančių taisyklių įjungimas tame profilyje yra laikina priemonė, o ne tikslas. Naudokite ją sesijai gauti, tada tinkamai uždarykite spragą:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Tas jungiklis atidaro kiekvieną įeinančią profilio taisyklę, ne tik RDP. Gavę sesiją, pakeiskite jį apribota taisykle ir atkurkite nustatymus, kurių iš tikrųjų norite. Jei agentas taip pat nepasiekiamas, atsarginis variantas yra nuoseklioji konsolė arba iš naujo sukurtas diskas, ir tai yra praktinė priežastis palaikyti agentą sveiką.

Susiaurinkite spragą prieš uždarydami sesiją

Laikinas profilio pakeitimas yra durys, laikomos atviros kiekvienai to profilio įeinančiai taisyklei. Pakeiskite jas taisykle, apribota jūsų šaltinio adresu ir RDP prievadu, tada patvirtinkite, kad profilis grįžo į numatytą būseną. Darykite tai, kol dar turite sesiją, nes kita klaida gali būti neatsukama nuotoliniu būdu. Keitimo metu turėkite antrą administravimo kelią, pavyzdžiui, Bastion arba nuosekliąją konsolę.

Patvirtinkite rezultatą iš savo darbo stoties prievado testu, o iš svečio vidaus – taisyklių sąrašu:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Įjunkite ugniasienės registravimą visos patikros metu. Viena eilutė apie atmestą paketą, kurioje nurodytas 3389 ir aktyvus profilis, atsako į klausimą greičiau nei dar vienas paleidimas iš naujo.

Neleiskite kitam diegėjui to pakartoti

Jei tas hostas neturi priežasties vykdyti kliento, pašalinkite jį. Įdiegtas klientas yra nuolatinis kvietimas kitam atnaujinimui vėl perrašyti profilį, ir kitas žmogus derins tą patį triktį iš portalo.

Padarykite disko momentinę kopiją prieš leisdami kam nors perrašyti tinklo nustatymus, ir turėkite antrą administravimo kelią paruoštą anksčiau, nei jo prireiks.

Užrašykite, ką diegėjas pakeitė: adapterius, maršrutus, ugniasienės profilius, filtro tvarkykles ir paslaugas. Šis įrašas paverčia kitą įvykį žinomu modeliu, o ne nauju tyrimu. Kai VM reikia tunelio tiksliai į vieną paslaugą, dėkite klientą į savo darbo stotį arba sukurkite ryšį tarp svetainių, o ne diekite serveryje nešiojamiesiems skirtą produktą. Vartotojiški klientai skirti nešiojamiesiems, o nuotoliniu būdu administruojamas serveris toks nėra.