Attālinātā darbvirsma caur VPN: kurā atteicē jūs esat?

Jūsu tunelis ir aktīvs, iekšējā viki ielādējas, un attālinātā darbvirsma joprojām atsakās pieslēgties. Šī kombinācija ir normāla, jo VPN nodrošina maršrutu uz resursdatoru, bet darbvirsmas pakalpojumam ir jāklausās, jābūt atļautam ar savu ugunsmūri un jābūt gatavam autentificēt kontu. Starp strādājošu tuneli un lietojamu sesiju ir četras atteices pakāpes, un katra no tām neizdodas ar citu ziņojumu. Vispirms izlasiet ziņojumu, jo tas nosauc pakāpi.

Četras atteices, kas izskatās kā viena

Pakāpes ir sakārtotas: vārds tiek atrisināts uz privāto adresi, ko paredz dizains, ports atbild uz TCP rokas sasveicināšanos, resursdators pieņem savienojumu saskaņā ar savu politiku, un sesijas pieteikšanās izdodas. Katra pakāpe padara nākamo nepārbaudāmu, tāpēc RDP iestatījumu maiņa pirms tīkla sakārtošanas rada tikai troksni. Simptoms no lietotāja puses visos četros gadījumos izskatās vienādi. Tos šķir tikai klienta ziņojums.

Strādājoša iekšējā vietne nepierāda nevienu no četrām. Tā pierāda, ka resursdators tajā pašā tīklā atbildēja citā portā ar citu pakalpojumu. Uztveriet to kā pierādījumu par maršrutēšanu un neko vairāk.

Pārbaudiet pēc kārtas un pierakstiet rezultātu. Lēkt uz pieteikšanās ekrānu tāpēc, ka ports atbildēja, ir veids, kā pavadīt pēcpusdienu pie ugunsmūra problēmas, kuru pirmais solis jau ir lokalizējis.

Vai kaut kas klausās 3389 portā?

Sāciet ar vārdu, jo vārds, kas tiek atrisināts uz nepareizu adresi, padara nederīgu katru vēlāko pārbaudi. Pajautājiet tuneļa atrisinātājam, ko nozīmē vārds, pēc tam salīdziniet atbildi ar privāto adresi, ko paredz dizains, nevis ar veiksmīgu atbildi. Vārds, kas tiek atrisināts uz publisku adresi, ir visa problēma, un nekāda RDP izmaiņa to nesalabos:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Pēc tam pārbaudiet portu, nevis resursdatoru. Pabeigta TCP rokas sasveicināšanās 3389 portā atdala sasniedzamību no visa, kas atrodas virs tās:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Veiciet šo pārbaudi no LAN un no tuneļa, jo atšķirība starp diviem rezultātiem lokalizē kļūdu VPN ceļā. Ceļā ir divi ugunsmūri, un tos ir viegli sajaukt: tīklam jāļauj klienta tuneļa adresei sasniegt resursdatoru, un resursdatora paša ugunsmūrim jāļauj tam pašam avotam klausīšanās portā. Noteikums, kas ierobežots ar LAN apakštīklu, neaptver VPN klientu pūlu, un tas ir visbiežākais iemesls taimautam, par kuru ziņo tikai attālinātie lietotāji. Pārbaudiet noteikuma apjomu, nevis tā esamību.

Atgriešanās ceļš ir pelnījis to pašu pārbaudi. Atbildēm vajadzīgs maršruts atpakaļ uz klientu pūlu, nevis uz LAN, un tulkojums resursdatora priekšā maina avotu, ko rādīs jūsu žurnāls. Ja ports atbild vienā virzienā un otrā ne, trūkstošā puse parasti ir atgriešanās ceļš.

Izlasiet ziņojumu pirms konfigurācijas lasīšanas

Trešā pakāpe ir resursdators, kas atsaka savienojumu saskaņā ar savu politiku, un tas bieži izskatās kā ports, kas uzreiz atveras un aizveras. Kaut kas atbildēja, un tā ir noderīga informācija, nevis klusums. Ja rokas sasveicināšanās tika pabeigta un sesija uzreiz nomira, tīkls ir kārtībā un lemj resursdators. Apskatiet attālinātās darbvirsmas atļaujas, pirms atkal aiztiekat tīklu.

Funkcija var būt iespējota mašīnai, kamēr piekļuve ir ierobežota noteiktām grupām, un klausītājs var būt piesaistīts tā, ka izslēdz adresi, no kuras jūs atnācāt. Tīkla līmeņa autentifikācija pievieno vārtus, kas neizdodas pirms darbvirsmas ielādes, un tās kļūdas teksts atšķiras no nepareizas paroles. Salīdziniet klienta ziņojumu ar resursdatora notikumu žurnālu, jo ziņojums nosauc vārtus, bet žurnāls — kontu.

Sesijas pieteikšanās ir sava robeža

Autentifikācija pieder darbvirsmas pakalpojumam, nevis VPN. Tuneļa identitāte un darbvirsmas konts ir atsevišķi akreditācijas dati ar atsevišķām bloķēšanas politikām, tāpēc strādājošs tunelis pierāda tikai to, ka tunelis jūs pieņēma. Darbvirsmas konta bloķēšana netraucē tuneli, un otrādi arī ir taisnība.

Saglabājiet abus veselus. Kad trūkst privātā maršruta, salabojiet maršrutu, jo klausītāja publicēšana internetā apmaina sasniedzamības kļūdu pret atvērtu darbvirsmu. Nevājiniet arī sesijas identitātes pārbaudes, lai apietu sertifikāta brīdinājumu, kas parādījās tajā pašā laikā. Pašparakstīts sertifikāts RDP klausītājā pēc dizaina rada brīdinājumu, tāpēc tā pieņemšana ir lēmums, nevis solis.

Saskaitiet mēģinājumus pirms atkārtotas mēģināšanas. Darbvirsmas bloķēšanas sliekšņi skaita neveiksmīgas pieteikšanās atsevišķi no VPN atteicēm, un klients, kas mēģina vēlreiz pēc taimera, var pārsniegt slieksni, kamēr jūs vēl rediģējat noteikumu. Tas ir tas pats paralēlo atkārtoto mēģinājumu mehānisms, kas bloķē kontus pēc paroles maiņas.

Ko sesija var pārvietot un kur tas paliek

Apgūstiet apstiprināto atteikšanās plūsmu, pirms tā jums nepieciešama. Loga aizvēršana var atvienot tikai skatu, kamēr sesija turpina darboties saskaņā ar konfigurēto politiku, kas ir svarīgi koplietotā vai auditētā resursdatorā. Atteikties no sesijas iekšpuses, kad politika to sagaida.

Pēc tam izlemiet, ko sesija drīkst pārvadāt, jo starpliktuvē, novirzītie diski, printera novirzīšana un failu pārsūtīšana pārvieto datus starp vietējo un attālo sistēmu tur, kur politika to atļauj. Publicēta lietojumprogramma, kas darbojas otrā pusē, nav automātiski robeža bez lejupielādes, un sesija, kas izskatās tikai lasāma, joprojām var pārvadāt starpliktuvi. Pārbaudiet īsto uzdevumu, nevis savienojumu: atveriet failu, izmantojiet lietojumprogrammu un apstipriniet nepieciešamo novirzīšanu. Microsoft norādījumi par attālinātās darbvirsmas sasniegšanu no ārpuses apraksta atbalstītās pakļaušanas iespējas, un tie ir labāks atsauce nekā publisks klausītājs, kas pievienots spiediena apstākļos.