Cisco Secure Client menyekat VPN daripada sesi RDP

Log masuk berjaya dan terowong masih tidak naik. Gabungan itu mengelirukan orang kerana ia dibaca sebagai masalah pengesahan, kemudian sepanjang petang digunakan untuk menetapkan semula kelayakan yang tidak pernah menjadi punca. Cisco Secure Client boleh menolak untuk mewujudkan VPN kerana cubaan itu datang daripada sesi Remote Desktop, dan keputusan itu dibuat oleh dasar di sebelah klien.

Di mana ini muncul dalam aliran sambungan

Telusuri klien dari atas. Profil dimuatkan, kelayakan dikumpulkan dan pengesahan selesai. Kemudian, sebelum mana-mana terowong dibina, klien menilai tetapan sesi dan pewujudannya terhadap persekitaran tempat ia berada.

Catat tiga perkara pada saat itu: mesej yang tepat, versi klien dan nama profil yang dipaparkan dalam klien. Ketiga-tiganya menukar aduan kabur menjadi permintaan sokongan yang boleh diambil tindakan. Ambil tangkapan skrin dialog, kerana mesej panjang dipotong dalam log. Catat juga masanya, supaya pentadbir boleh memadankannya dengan hujung kepala.

Tetapan yang sebenarnya menentukan

Dasar Windows VPN Establishment ialah kawalan yang berkaitan, dan ia mempunyai dua nilai berdokumen: pengguna tempatan sahaja, dan benarkan pengguna jauh. Yang kedua membenarkan terowong diwujudkan daripada sesi Remote Desktop dalam konfigurasi yang disokong. Yang pertama ialah pendirian lalai dalam banyak profil perusahaan.

Jangan kelirukannya dengan Windows Logon Enforcement, yang didokumenkan oleh panduan profil sebagai dasar berasingan tentang sesi log masuk. Satu mengawal sesi mana yang boleh membina terowong, satu lagi mengawal tingkah laku serentak atau sebelum log masuk. Menukar yang salah tidak menghasilkan kesan yang kelihatan.

Baca profil yang benar-benar digunakan

Dalam penggunaan terurus klien menerima profilnya daripada hujung kepala atau lokasi terurus, dan salinan yang disunting pada cakera selalunya bukan yang berkuat kuasa. Itulah sebabnya perubahan XML tempatan boleh kelihatan betul dan tidak mengubah apa-apa.

Tanya pentadbir profil dan dasar kumpulan mana yang diterima peranti, bukan fail mana yang ada pada komputer riba. Kedua-duanya sering tidak sepadan selepas peningkatan versi. Salinan usang dalam folder tempatan masih terbuka dalam editor dan masih kelihatan betul. Ia cuma bukan apa yang digunakan oleh klien.

Laluan RDP selepas terowong naik

Membenarkan pewujudan jauh tidak menjamin sesi Remote Desktop anda bertahan. Apabila terowong menukar laluan atau peraturan akses tempatan, sesi yang membawa anda masuk boleh kehilangan laluan yang menyokongnya.

Rancang saluran pemulihan sebelum perubahan: akses konsol, laluan pengurusan luar jalur, atau prosedur sambung semula yang berdokumen. Memutuskannya kemudian biasanya bermakna perjalanan ke mesin.

Jangan gunakan helah mencuri sesi, alat kawalan jauh alternatif atau kata laluan yang ditulis dalam skrip untuk mengelak dasar. Jika organisasi tidak membenarkan aliran kerja ini, langkah yang betul ialah laluan pentadbiran yang disokongnya.

Apa yang perlu dihantar kepada pentadbir

Berikan teks mesej, versi klien, nama profil aktif, jenis sesi yang anda gunakan untuk bersambung, dan sama ada cubaan dari konsol tempatan berkelakuan berbeza. Tambah cap masa.

Perbandingan terakhir itulah yang menjimatkan masa, kerana ia memisahkan penolakan dasar sesi daripada kegagalan seluruh peranti.

Sahkan selepas perubahan yang diluluskan

Setelah profil dikemas kini, wujudkan sesi RDP baharu dan sambung semula, kemudian lakukan urutan pemutusan dengan sengaja. Sahkan terowong naik, laluan pengurusan bertahan dan akaun anda masih boleh log masuk ke desktop.

Penerimaan VPN, kelangsungan sesi dan kebenaran log masuk Windows ialah tiga pemeriksaan berasingan. Lulus satu tidak memberitahu apa-apa tentang dua yang lain.