Далечинска работна површина преку VPN: во кој дефект сте?

Вашиот тунел е активен, внатрешното вики се вчитува, а далечинската работна површина и понатаму одбива да се поврзе. Таа комбинација е нормална, бидејќи VPN дава рута до домаќинот, додека услугата за работна површина мора да слуша, да биде дозволена од сопствениот firewall и да биде подготвена да ја автентицира сметката. Помеѓу работен тунел и употреблива сесија стојат четири фази на дефект и секоја пропаѓа со различно порака. Прочитајте ја пораката прво, бидејќи таа ја именува фазата.

Четири дефекти што изгледаат како еден

Фазите се подредени: името се решава до приватната адреса што ја предвидува дизајнот, портата одговара на TCP ракување, домаќинот го прифаќа поврзувањето според својата политика и најавата во сесијата успева. Секоја фаза ја прави следната непроверлива, затоа менувањето на RDP поставките пред мрежата да се среди создава само шум. Симптомот од страна на корисникот изгледа исто во сите четири случаи. Само пораката на клиентот ги разделува.

Работна внатрешна веб-страница не докажува ниту еден од четирите. Докажува дека домаќин на истата мрежа одговорил на друга порта со друга услуга. Земете го тоа како доказ за рутирањето и ништо повеќе.

Тестирајте по ред и запишете го резултатот. Скокањето на екранот за најава затоа што портата одговорила е начин да се потроши попладне на firewall проблем што првиот чекор веќе го лоцирал.

Слуша ли нешто на 3389?

Почнете со името, бидејќи име што се решава на погрешна адреса го поништува секое подоцнежно тестирање. Прашајте го решавачот на тунелот што значи името, потоа споредете го одговорот со приватната адреса што ја предвидува дизајнот, а не со успешен одговор. Име што се решава на јавна адреса е целиот проблем и никаква RDP промена нема да го поправи:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Потоа тестирајте ја портата, а не домаќинот. Завршено TCP ракување на 3389 ја дели достапноста од сите е над неа:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Изведете го тој тест од LAN и од тунелот, бидејќи разликата меѓу двата резултата го лоцира дефектот на VPN патеката. На патеката има два firewall и лесно се мешаат: мрежата мора да дозволи адресата на тунелот на клиентот да стигне до домаќинот, а сопствениот firewall на домаќинот мора да го дозволи истиот извор на портата што слуша. Правило ограничено на LAN подмрежата не го покрива базенот на VPN клиенти и тоа е најчестата причина за истек на време за кој известуваат само далечинските корисници. Проверете го опфатот, а не постоењето на правилото.

Повратната патека заслужува иста проверка. Одговорите бараат рута назад до базенот на клиенти, а не до LAN, а преводот пред домаќинот го менува изворот што ќе го покаже вашиот лог. Ако портата одговара во една насока, а во другата не, половината што недостасува обично е повратната патека.

Прочитајте ја пораката пред да ја прочитате конфигурацијата

Третата фаза е домаќинот да го одбие поврзувањето според својата политика, што често изгледа како порта што веднаш се отвора и затвора. Нешто одговори, и тоа е корисна информација, а не тишина. Ако ракувањето завршило и сесијата веднаш умрела, мрежата е во ред и домаќинот одлучува. Погледнете ги дозволите за далечинска работна површина пред повторно да ја допрете мрежата.

Функцијата може да биде овозможена за машината, додека пристапот е ограничен на одредени групи, а слушателот може да биде поврзан на начин што ја исклучува адресата од која дојдовте. Автентикацијата на мрежно ниво додава порта што пропаѓа пред работната површина да се вчита, а нејзиниот текст за грешка се разликува од погрешна лозинка. Споредете ја пораката на клиентот со дневникот на настани на домаќинот, бидејќи пораката ја именува портата, а дневникот сметката.

Најавата во сесијата е сопствена граница

Автентикацијата припаѓа на услугата за работна површина, не на VPN. Идентитетот на тунелот и сметката за работна површина се одделни акредитиви со одделни политики за заклучување, затоа работен тунел докажува само дека тунелот ве прифатил. Заклучувањето на сметката за работна површина не го попречува тунелот, а обратното исто така е точно.

Чувајте ги двете цели. Кога недостига приватната рута, поправете ја рутата, бидејќи објавувањето на слушателот на интернет ја менува грешката во достапност за изложена работна површина. Не ослабувајте ги ни проверките на идентитетот на сесијата за да поминете покрај предупредување за сертификат што се појави во исто време. Самопотпишан сертификат на RDP слушател дава предупредување по дизајн, така што неговото прифаќање е одлука, а не чекор.

Избројте ги обидите пред повторување. Праговите за заклучување на работната површина ги бројат неуспешните најави одделно од VPN дефектите, а клиент што повторува по тајмер може да го надмине прагот додека и понатаму уредувате правило. Тоа е истиот механизам за паралелни повторувања што заклучува сметки по промена на лозинка.

Што може сесијата да пренесе и каде останува

Научете го одобрениот тек на одјавување пред да ви треба. Затворањето на прозорецот може само да го исклучи приказот додека сесијата продолжува да работи според својата конфигурирана политика, што е важно на споделен или ревидиран домаќин. Одјавете се од внатрешноста на сесијата кога политиката тоа го очекува.

Потоа одлучете што смее сесијата да пренесува, бидејќи клипинг, пренасочени дискови, пренасочување на печатач и пренос на датотеки пренесуваат податоци меѓу локалниот и далечинскиот систем каде што политиката дозволува. Објавена апликација што работи на другата страна не е автоматски граница без преземање, а сесија што изгледа само за читање и понатаму може да пренесува клипинг. Тестирајте ја вистинската задача, а не врската: отворете ја датотеката, користете ја апликацијата и потврдете го пренасочувањето што ви треба. Упатството на Microsoft за пристап до далечинска работна површина однадвор ги опишува поддржаните опции за изложување и е подобра референца од јавен слушател додаден под притисок.