RDP запира по инсталирањето на VPN клиент? Виновен е огнениот ѕид

Неколку минути откако потрошувачки VPN клиент ќе заврши со инсталацијата, порталот сѐ уште вели дека VM работи, јавната IP не е променета, а RDP не одговара. Луѓето обично претпоставуваат дека VM паднал или дека се променила мрежната безбедносна група, а двете обично се погрешни. Она што се променило е профилот на огнениот ѕид на Windows во кој се наоѓа машината, и правилото за RDP што порано се совпаѓаше повеќе не се совпаѓа. Поправката започнува со добивање школка преку пат што не зависи од RDP.

VM работи; правилото престана да се совпаѓа

Правилата на огнениот ѕид во Windows носат множество профили, а правило ограничено на Приватно или Домен нема ефект додека машината е на јавниот профил. Инсталатерите на VPN додаваат адаптери и рути, и многу од нив го зацврстуваат јавниот профил како несакан ефект. Слушачот останува врзан за 3389 и пакетите сѐ уште пристигнуваат, но несовпаѓањето на профилот ги отфрла.

Состојбата на напојување и достапноста се одделни факти, а VM што работи со затворена порта однадвор изгледа точно како паднат.

Проверете ја портата пред да промените било што. Обид за поврзување на 3389 што завршува со истек на време, додека наредбата на гостувачкиот агент сѐ уште враќа излез, упатува на огнениот ѕид на домаќинот. Порта што одговара, а RDP сѐ уште не успева, значи дека дефектот е над мрежниот слој и оваа поправка нема да го допре. Забележете кој од двата случаи сте го виделе, бидејќи остатокот од планот зависи од тоа.

Две порти се затвораат независно

Прво работи политиката на платформата: мрежната безбедносна група го гледа пакетот пред гостинот. Тој редослед го прави совршениот NSG запис бескорисен кога домаќинот го отфрла пакетот, а отвореното правило на домаќинот бескорисно кога платформата го одбива. Третирајте ги како одделни порти и тестирајте ја секоја посебно.

Прочитајте ги важечките правила на NSG во порталот или CLI, потоа споредете ги со сопствените правила на гостинот. Не претпоставувајте дека последната промена што ја паметите е таа што стапила на сила.

Потрошувачки клиент може да инсталира и драјвер за филтрирање или прекинувач што го блокира сообраќајот под огнениот ѕид на Windows. Ако правилата изгледаат исправни, а портата сѐ уште не успева, следниот сомнителен е тој слој.

Користете го гостувачкиот агент како пат за враќање

Две функции за далечинско извршување, Run Command и Custom Script Extension, работат внатре во гостинот преку агентот на платформата. Ниту една не бара RDP, па грешката со огнениот ѕид не влијае на нив. Обете го враќаат излезот од скриптата, што ги прави канал за дијагностика и истовремено канал за поправка.

Прочитајте го активниот профил и правилото за RDP пред да смените било кое од нив:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Повторното овозможување на влезните правила на тој профил е привремена мерка, а не цел. Користете ја за да добиете сесија, потоа правилно затворете ја празнината:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Тој прекинувач го отвора секое влезно правило на профилот, не само RDP. Откако ќе имате сесија, заменете го со ограничено правило и вратете ги поставките што навистина ги сакате. Ако и агентот не е достапен, резервна опција е сериска конзола или повторно изграден диск, и тоа е практичната причина да го одржувате агентот здрав.

Стеснете ја празнината пред да ја затворите сесијата

Привремената промена на профилот е врата што се држи отворена за секое влезно правило на тој профил. Заменете ја со правило ограничено на вашата изворна адреса и портата RDP, потоа потврдете дека профилот се вратил во предвидената состојба. Направете го тоа додека сѐ уште ја имате сесијата, бидејќи следната грешка можеби нема да биде повратна од далечина. Држете втор административен пат, како Bastion или сериска конзола, подготвен за време на промената.

Потврдете го резултатот од вашата работна станица со тест на портата, а од внатрешноста на гостинот со списокот правила:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Вклучете евидентирање на огнениот ѕид за времетраењето на тестот. Еден ред за отфрлен пакет што споменува 3389 и активниот профил одговара на прашањето побрзо од уште едно рестартирање.

Спречете го следниот инсталатер да го повтори

Ако тој домаќин нема причина да го извршува клиентот, деинсталирајте го. Инсталираниот клиент е постојана покана следното ажурирање повторно да го препише профилот, и следната личност ќе го отстранува истиот прекин од порталот.

Направете снимка на дискот пред да дозволите нешто да ги препише мрежните поставки, и држете втор административен пат подготвен пред да ви затреба.

Забележете што изменил инсталатерот: адаптери, рути, профили на огнениот ѕид, драјвери за филтрирање и услуги. Тој запис го претвора следниот инцидент во познат образец наместо нова истрага. Кога на VM му треба тунел до точно една услуга, ставете го клиентот на вашата работна станица или изградете врска меѓу локации наместо да инсталирате на серверот производ за преносни сметачи. Потрошувачките клиенти се наменети за преносни сметачи, а серверот што го администрирате од далечина не е таков.