RDP berhenti selepas memasang klien VPN? Punca ialah firewall

Beberapa minit selepas klien VPN pengguna selesai dipasang, portal masih menyatakan VM berjalan, IP awam tidak berubah, dan RDP tidak bertindak balas. Orang biasanya menganggap VM terhempas atau kumpulan keselamatan rangkaian berubah, dan kedua-duanya biasanya salah. Yang berubah ialah profil firewall Windows tempat mesin berada, dan peraturan RDP yang dahulu padan kini tidak padan lagi. Pembaikan bermula dengan mendapatkan shell melalui laluan yang tidak bergantung pada RDP.

VM berjalan; peraturan tidak lagi padan

Peraturan firewall dalam Windows membawa set profil, dan peraturan yang terhad kepada Peribadi atau Domain tidak berkesan selagi mesin berada pada profil Awam. Pemasang VPN menambah penyesuai dan laluan, dan beberapa daripadanya mengeraskan Awam sebagai kesan sampingan. Pendengar kekal terikat pada 3389 dan paket masih tiba, tetapi ketidakpadanan profil membuangnya.

Keadaan kuasa dan kebolehcapaian ialah fakta berasingan, dan VM yang berjalan dengan port tertutup kelihatan dari luar sama seperti yang terhempas.

Uji port sebelum mengubah apa-apa. Cubaan menyambung ke 3389 yang tamat masa sementara arahan ejen tetamu masih mengembalikan output menunjukkan firewall hos. Port yang menjawab tetapi RDP masih gagal bermakna kerosakan berada di atas lapisan rangkaian, dan pembaikan ini tidak akan menyentuhnya. Catat yang mana satu daripada dua kes yang anda lihat, kerana baki pelan bergantung padanya.

Dua pintu ditutup secara berasingan

Dasar platform berjalan dahulu: kumpulan keselamatan rangkaian melihat paket sebelum tetamu. Urutan itu menjadikan entri NSG sempurna tidak berguna apabila hos membuang paket, dan peraturan hos terbuka tidak berguna apabila platform menolaknya. Anggap kedua-duanya sebagai pintu berasingan dan uji setiap satu secara berasingan.

Baca peraturan berkesan NSG di portal atau CLI, kemudian bandingkan dengan peraturan tetamu sendiri. Jangan anggap perubahan terakhir yang anda ingat ialah yang berkuat kuasa.

Klien pengguna juga boleh memasang pemacu penapis atau suis bunuh yang menyekat trafik di bawah firewall Windows. Jika peraturan firewall kelihatan betul dan port masih gagal, lapisan itu ialah suspek seterusnya.

Gunakan ejen tetamu sebagai laluan masuk semula

Dua ciri pelaksanaan jauh, Run Command dan Custom Script Extension, berjalan di dalam tetamu melalui ejen platform. Kedua-duanya tidak memerlukan RDP, jadi kesilapan firewall tidak menjejaskannya. Kedua-duanya mengembalikan output skrip, yang menjadikannya saluran diagnostik dan juga saluran pembaikan.

Baca profil aktif dan peraturan RDP sebelum mengubah mana-mana satu:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Mengaktifkan semula peraturan masuk pada profil itu ialah langkah sementara, bukan destinasi. Gunakannya untuk mendapatkan sesi, kemudian tutup celah itu dengan betul:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Suis itu membuka setiap peraturan masuk pada profil, bukan hanya RDP. Setelah anda mempunyai sesi, gantikannya dengan peraturan terhad dan pulihkan tetapan yang benar-benar anda mahu. Jika ejen juga tidak tersedia, konsol bersiri atau cakera yang dibina semula ialah sandaran, dan itulah sebab praktikal untuk memastikan ejen sihat.

Sempitkan celah sebelum menutup sesi

Perubahan profil sementara ialah pintu yang dibiarkan terbuka untuk setiap peraturan masuk pada profil itu. Gantikannya dengan peraturan yang terhad kepada alamat sumber anda dan port RDP, kemudian sahkan profil kembali ke keadaan yang dimaksudkan. Lakukan semasa anda masih mempunyai sesi, kerana kesilapan seterusnya mungkin tidak boleh diterbalikkan dari jauh. Sediakan laluan pentadbiran kedua seperti Bastion atau konsol bersiri semasa perubahan.

Sahkan hasilnya dari stesen kerja anda dengan ujian port, dan dari dalam tetamu dengan senarai peraturan:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Hidupkan pengelogan firewall sepanjang ujian. Satu baris tentang paket yang dibuang yang menyebut 3389 dan profil aktif menjawab soalan lebih pantas daripada satu lagi but semula.

Elakkan pemasang seterusnya mengulanginya

Jika hos itu tiada sebab menjalankan klien, nyahpasangnya. Klien yang dipasang ialah jemputan tetap untuk kemas kini seterusnya menulis semula profil lagi, dan orang seterusnya akan menyahpepijat gangguan yang sama dari portal.

Ambil petikan cakera sebelum membenarkan apa-apa menulis semula tetapan rangkaian, dan sediakan laluan pentadbiran kedua sebelum anda memerlukannya.

Catat apa yang diubah pemasang: penyesuai, laluan, profil firewall, pemacu penapis dan perkhidmatan. Rekod itu menukar insiden seterusnya kepada corak yang dikenali dan bukan siasatan baharu. Apabila VM memerlukan terowong ke tepat satu perkhidmatan, letakkan klien di stesen kerja anda atau bina pautan antara tapak dan bukan memasang produk komputer riba pada pelayan. Klien pengguna menyasarkan komputer riba, dan pelayan yang anda urus dari jauh bukan itu.