RDP apstājas pēc VPN klienta instalēšanas? Vainīgs ir ugunsmūris

Dažas minūtes pēc tam, kad patērētāju VPN klients ir pabeidzis instalēšanu, portāls joprojām saka, ka VM darbojas, publiskā IP nav mainījusies, un RDP neatbild. Cilvēki parasti pieņem, ka VM avarēja vai mainījās tīkla drošības grupa, un abi parasti ir nepareizi. Kas mainījās, ir Windows ugunsmūra profils, kurā atrodas mašīna, un RDP noteikums, kas agrāk atbilda, vairs neatbilst. Remonts sākas ar čaulas iegūšanu pa ceļu, kas nav atkarīgs no RDP.

VM darbojas; noteikums pārstāja atbilst

Windows ugunsmūra noteikumiem ir profilu kopa, un noteikumam, kas ierobežots uz privāto vai domēna profilu, nav nekādas ietekmes, kamēr mašīna atrodas publiskajā profilā. VPN instalētāji pievieno adapterus un maršrutus, un daudzi no tiem blakusefekta dēļ pastiprina publisko profilu. Klausītājs paliek piesaistīts 3389, un paketes joprojām pienāk, bet profila neatbilstība tās izmet.

Barošanas stāvoklis un sasniedzamība ir atsevišķi fakti, un darbojoša VM ar slēgtu portu no ārpuses izskatās tieši tāpat kā avarējusi.

Pārbaudiet portu pirms kaut kā maiņas. Savienojuma mēģinājums uz 3389, kas beidzas ar taimautu, kamēr viesa aģenta komanda joprojām atgriež izvadi, norāda uz resursdatora ugunsmūri. Ports, kas atbild, bet RDP joprojām neizdodas, nozīmē, ka kļūme ir virs tīkla slāņa, un šis remonts to neskars. Pierakstiet, kuru no diviem gadījumiem redzējāt, jo pārējais plāns ir atkarīgs no tā.

Divi vārti aizveras neatkarīgi

Vispirms darbojas platformas politika: tīkla drošības grupa redz paketi pirms viesa. Šī secība padara perfektu NSG ierakstu bezjēdzīgu, kad resursdators paketi izmet, un atvērtu resursdatora noteikumu bezjēdzīgu, kad platforma to noraida. Uztveriet tos kā atsevišķus vārtus un pārbaudiet katrus atsevišķi.

Izlasiet NSG spēkā esošos noteikumus portālā vai CLI un pēc tam salīdziniet tos ar paša viesa noteikumiem. Nepieņemiet, ka pēdējās atcerētās izmaiņas ir tās, kas stājās spēkā.

Patērētāju klients var arī instalēt filtra draiveri vai kill switch, kas bloķē trafiku zem Windows ugunsmūra. Ja ugunsmūra noteikumi izskatās pareizi un ports joprojām neizdodas, nākamais aizdomās turamais ir šis slānis.

Izmantojiet viesa aģentu kā atgriešanās ceļu

Divas attālinātas izpildes funkcijas, Run Command un Custom Script Extension, darbojas viesa iekšienē caur platformas aģentu. Nevienai nav vajadzīgs RDP, tāpēc ugunsmūra kļūda tām neietekmē. Abas atgriež skripta izvadi, kas tās padara par diagnostikas un vienlaikus remonta kanālu.

Izlasiet aktīvo profilu un RDP noteikumu pirms jebkura no tiem maiņas:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Ienākošo noteikumu atkārtota iespējošana šajā profilā ir pagaidu pasākums, nevis mērķis. Izmantojiet to, lai iegūtu sesiju, un pēc tam pareizi aizveriet spraugu:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Šis slēdzis atver katru profila ienākošo noteikumu, ne tikai RDP. Kad sesija ir iegūta, aizstājiet to ar ierobežotu noteikumu un atjaunojiet iestatījumus, ko patiešām vēlaties. Ja arī aģents nav pieejams, rezerves variants ir seriālā konsole vai no jauna izveidots disks, un tas ir praktiskais iemesls uzturēt aģentu veselu.

Sašauriniet spraugu pirms sesijas aizvēršanas

Pagaidu profila maiņa ir durvis, kas turētas atvērtas katram šī profila ienākošajam noteikumam. Aizstājiet tās ar noteikumu, kas ierobežots uz jūsu avota adresi un RDP portu, un pēc tam apstipriniet, ka profils ir atgriezies paredzētajā stāvoklī. Dariet to, kamēr sesija vēl ir jums, jo nākamā kļūda var nebūt atgriezeniska attālināti. Maiņas laikā turiet gatavu otru administratīvo ceļu, piemēram, Bastion vai seriālo konsoli.

Apstipriniet rezultātu no savas darbstacijas ar porta testu un no viesa iekšpuses ar noteikumu sarakstu:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Ieslēdziet ugunsmūra reģistrēšanu visā testa laikā. Viena rinda par izmestu paketi, kurā nosaukts 3389 un aktīvais profils, atbild uz jautājumu ātrāk nekā vēl viena pārstartēšana.

Neļaujiet nākamajam instalētājam to atkārtot

Ja tam resursdatoram nav iemesla darbināt klientu, atinstalējiet to. Instalēts klients ir pastāvīgs ielūgums nākamajam atjauninājumam atkal pārrakstīt profilu, un nākamais cilvēks atkļūdos to pašu pārtraukumu no portāla.

Izveidojiet diska momentuzņēmumu, pirms ļaujat kaut kam pārrakstīt tīkla iestatījumus, un turiet otru administratīvo ceļu gatavu, pirms tas jums vajadzīgs.

Pierakstiet, ko instalētājs mainīja: adapterus, maršrutus, ugunsmūra profilus, filtra draiverus un pakalpojumus. Šis ieraksts pārvērš nākamo incidentu zināmā modelī, nevis jaunā izmeklēšanā. Kad VM vajag tuneli tieši uz vienu pakalpojumu, ievietojiet klientu savā darbstacijā vai izveidojiet savienojumu starp vietnēm, nevis instalējiet serverī klēpjdatoriem paredzētu produktu. Patērētāju klienti ir paredzēti klēpjdatoriem, un attālināti pārvaldīts serveris tāds nav.