Kāpēc RDP iesaldējas, kad attālinātais dators pievienojas VPN

Jūs esat RDP logā, darbvirsma ir ekrānā, un jūs nospiežat Connect VPN klientā, kas darbojas tajā attālinātajā datorā. Pēc dažām sekundēm logs iesaldējas un pēc tam aizveras. Tunelis pacēlās, tieši to ziņos VPN žurnāls, un tas ir vismazāk noderīgais fakts visā incidentā. Sesija nomira tāpēc, ka dators, ar kuru jūs runājāt, mainīja veidu, kā tas jums atbild, tāpēc pārbaudiet atgriešanās ceļu pirms aiztiekat tuneli.

Pierakstiet galapunktu, kuru jūsu sesija faktiski izmanto

Adrese, kas ierakstīta RDP klientā, ne vienmēr ir tā adrese, uz kuru atbild attālinātais dators. NAT, RD Gateway vai slodzes balansētājs hosta priekšā var to pārrakstīt, un atgriešanās ceļu nosaka avota adrese, ko attālinātais dators redz izveidotajā savienojumā. Kļūdoties šeit, jūs meklēsit maršrutu, kas nekad nav piedalījies.

Attālinātajā datorā, pirms VPN ir pievienots, uzskaitiet izveidotās sesijas un nolasiet partnera adresi no tabulas. Pēc tam pierakstiet to kaut kur ārpus šī datora, jo pēc sesijas kritiena jūs to vairs nevarēsit nolasīt.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Uztveriet šo adresi kā to, kam jāpaliek sasniedzamam. Ja tā ir privāta adrese pārvaldības VLAN, tunelim šis ceļš ir jāatstāj mierā. Ja tā ir publiska adrese, atbildei jāiziet pa to pašu saskarni, kas atnesa pieprasījumu.

Nolasiet maršrutu, kas atbild uz šo galapunktu

Windows izvēlas saskarni katram galamērķim, un Find-NetRoute parāda lēmumu, ko tas pieņemtu tagad. Palaidiet to uz partnera adresi pirms pievienošanās, tad vēlreiz ar paceltu tuneli, un salīdziniet saskarnes indeksu un nākamo lēcienu abās atbildēs. Saskarnes maiņa ir viss defekts vienā izvades rindā.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Pilna tuneļa profils instalē noklusēto maršrutu caur tuneli, kā apraksta Windows VPN maršrutēšanas rokasgrāmata, tāpēc katra atbilde tagad iziet caur VPN un ir atkarīga no tā, vai otrā puse maršrutē atpakaļ uz jūsu klientu. Sadalītā tuneļa profils pēc noklusējuma ir drošāks, bet nav imūns, jo konkrēts maršruts, kas aptver partnera adresi, joprojām var pārspēt fizisko noklusēto maršrutu. Jebkurā gadījumā jautājums ir identisks: pēc tam, kad tunelis ir pacēlies, vai partnera adrese joprojām tiek atrisināta uz saskarni, kas atnesa sesiju?

Ja nē, labojums pieder profilam vai skaidram izņēmuma maršrutam, ko apstiprinājis VPN politikas īpašnieks. Maršrutēšanas tabulas rediģēšana ar roku ražošanas hostā incidenta laikā ir ceļš, kā pagaidu risinājums kļūst par nedokumentētu konfigurāciju.

Vērojiet ugunsmūra profila maiņu

Jauna saskarne tiek klasificēta, kad tā parādās, un klasifikācija nosaka, pret kuru ugunsmūra profilu tiek vērtēta tās plūsma. Tuneļa adapteris, kas nonāk kategorijā Public, var klusi apturēt ienākošo RDP, lai gan maršrutēšanas tabula izskatās nevainojami. Tas ir otrais atteices režīms, un tas dod citu simptomu: maršruts ir pareizs, paketes ierodas, un hosts atsakās savienoties.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Salīdziniet profilu, kas piesaistīts tuneļa saskarnei, ar profiliem, uz kuriem ir vērstas Remote Desktop kārtulas. Kārtula, kas iespējota tikai Domain un Private, neko nedara saskarnei, kas klasificēta kā Public, un nekāda maršruta korekcija to nemaina. Daži VPN klienti pēc konstrukcijas ierobežo arī piekļuvi vietējam apakštīklam, kas rada to pašu atteices formu no cita mehānisma.

Pārbaudiet pāreju no vietas, no kuras varat atgūties

Veiciet visu secību no ārējās konsoles vai otra pārvaldības ceļa šādā kārtībā: apstipriniet esošo sesiju, pievienojiet VPN, atveriet jaunu sesiju, pēc tam atvienojiet VPN un atveriet vēl vienu. Katrs solis pārbauda citu pāreju, un pirmais neveiksmīgais pasaka, kurš mehānisms ir atbildīgs.

Ieplānojiet atritināšanu pirms sākšanas, piemēram, ieplānotu uzdevumu, kas palaiž rasdial "Work VPN" /disconnect pēc noteikta intervāla. Tas pārvērš zaudēto sesiju piecu minūšu pārtraukumā vizītes uz vietas vietā, un tā ir lētākā apdrošināšana visā procedūrā.

Atgriezieties iekšā, kad sesija jau ir pazudusi

Ja hosts jau ir nesasniedzams, pārtrauciet mēģināt jaunus RDP savienojumus no tā paša klienta un izmantojiet atjaunošanas kanālu, kas videi jau ir: RD Gateway, hipervizora konsoli vai ārējo pārvaldības saskarni. Palūdziet personai ar konsoles piekļuvi palaist tās pašas komandas Find-NetRoute un Get-NetConnectionProfile, lai pierādījumi pārdzīvotu atjaunošanu.

Pēc tam izlemiet pastāvīgo sakārtojumu, nevis ātrāko. Vai nu pārvaldības ceļu skaidri saglabā VPN profils, vai arī pārvaldība pāriet uz kanālu, kas nav atkarīgs no hosta noklusētā maršruta. Abi ir aizstāvami; hosta maršruts ar minētu vārteju nav. Pierakstiet, kuru izvēlējāties, un fiksējiet partnera adresi, kurai bija jāizdzīvo.