Desktop Remot permezz ta' VPN: f'liema falliment int?

Il-mina tiegħek hija attiva, il-wiki intern jitgħabba, u d-Desktop Remot xorta jirrifjuta li jikkonnettja. Dan it-taħlita huwa normali, għax il-VPN jipprovdi rotta lejn il-host filwaqt li s-servizz tad-desktop irid ikun qed jisma', permess mill-firewall tiegħu stess u lesti li jawtentika l-kont. Erba' stadji ta' falliment jinsabu bejn mina funzjonanti u sessjoni użabbli, u kull wieħed ifalli b'messaġġ differenti. Aqra l-messaġġ l-ewwel, għax isemmi l-istadju.

Erba' fallimenti li jidhru bħala wieħed

L-istadji huma ordnati: l-isem jiġi riżolt għall-indirizz privat li d-disinn beħsieb, il-port iwieġeb għal handshake TCP, il-host jaċċetta l-konnessjoni skont il-politika tiegħu stess, u d-dħul fis-sessjoni jirnexxi. Kull stadju jagħmel li jmiss mhux testabbli, u għalhekk il-bidla tal-issettings RDP qabel ma tkun irranġata n-netwerk tipproduċi biss ħoss. Is-sintomu jidher identiku minn naħa tal-utent fl-erba' każijiet. Il-messaġġ tal-klijent biss jifredhom.

Sit intern li jaħdem ma jipprovax wieħed mill-erbgħa. Jipprova li host fuq l-istess netwerk wieġeb fuq port ieħor b'servizz ieħor. Ħu dan bħala evidenza dwar l-irrotar u xejn aktar.

Ittesta fl-ordni u ikteb ir-riżultat. Li taqbeż għall-iskrin tad-dħul għax il-port wieġeb huwa l-mod kif tqatta' nofs ta' jum fuq problema tal-firewall li l-ewwel pass diġà sab.

Xi ħaġa qed tisma' fuq 3389?

Ibda mill-isem, għax isem li jiġi riżolt għall-indirizz ħażin jinvallida kull test sussegwenti. Staqsi lir-riżolvir tal-mina xi jfisser l-isem, imbagħad qabbel it-tweġiba mal-indirizz privat li d-disinn beħsieb, mhux ma' tweġiba b'suċċess. Isem li jiġi riżolt għal indirizz pubbliku huwa l-problema kollha, u l-ebda bidla fl-RDP mhija se tissewwiha:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Imbagħad ittestja l-port, mhux il-host. Handshake TCP komplut fuq 3389 jissepara l-wasla minn kull ma jinsab fuqu:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Mexxi dak it-test mil-LAN u mill-mina, għax differenza bejn iż-żewġ riżultati tillokalizza l-ħsara fuq il-passaġġ tal-VPN. Żewġ firewalls jinsabu fuq il-passaġġ u ħafna drabi jiġu mħawda: in-netwerk irid iħalli l-indirizz tal-mina tal-klijent jilħaq il-host, u l-firewall tal-host stess irid iħalli l-istess sors fuq il-port li jisma'. Regola limitata għas-subnet LAN ma tkoprix il-pool tal-klijenti VPN, u dan huwa l-aktar kawża komuni ta' timeout li jirrappurtaw biss utenti remoti. Iċċekkja l-ambitu tar-regola, mhux l-eżistenza tagħha.

Il-passaġġ tar-ritorn jistħoqqlu l-istess verifika. It-tweġibiet jeħtieġu rotta lura lejn il-pool tal-klijenti, mhux lejn il-LAN, u traduzzjoni quddiem il-host tbiddel is-sors li se juri l-log tiegħek. Jekk il-port iwieġeb f'direzzjoni waħda u mhux fl-oħra, in-nofs nieqes normalment huwa l-passaġġ tar-ritorn.

Aqra l-messaġġ qabel ma taqra l-konfigurazzjoni

It-tielet stadju huwa l-host li jirrifjuta l-konnessjoni skont il-politika tiegħu, li spiss jidher bħal port li jiftaħ u jingħalaq minnufih. Xi ħaġa wieġbet, u dik hija informazzjoni utli mhux silenzju. Jekk l-handshake tlestiet u s-sessjoni mietet minnufih, in-netwerk tajjeb u l-host qed jiddeċiedi. Ħares lejn il-permessi tad-Desktop Remot qabel ma terġa' tmiss in-netwerk.

Il-karatteristika tista' tiġi attivata għall-magna filwaqt li l-aċċess huwa limitat għal gruppi speċifiċi, u s-semmiegħa tista' tkun marbuta b'modi li jeskludu l-indirizz li miegħu wasalt. L-Awtentikazzjoni fil-Livell tan-Netwerk iżżid bieb li jfalli qabel ma jitgħabba d-desktop, u t-test tal-iżball tiegħu huwa differenti minn password ħażina. Qabbel il-messaġġ tal-klijent mal-log tal-avvenimenti tal-host, għax il-messaġġ isemmi l-bieb u l-log isemmi l-kont.

Id-dħul fis-sessjoni huwa fruntiera tiegħu stess

L-awtentikazzjoni tappartjeni lis-servizz tad-desktop, mhux lill-VPN. L-identità tal-mina u l-kont tad-desktop huma kredenzjali separati b'politiki ta' tsakkir separati, għalhekk mina li taħdem tipprova biss li l-mina aċċettatk. It-tsakkir tal-kont tad-desktop ma jfixkilx il-mina, u bil-maqlub ukoll veru.

Żomm it-tnejn intatti. Meta r-rotta privata tkun nieqsa, sewwi r-rotta, għax il-pubblikazzjoni tas-semmiegħa fuq l-internet tibdel bug tal-wasla ma' desktop espost. Tiddgħajjifx ukoll il-verifiki tal-identità tas-sessjoni biex tgħaddi twissija ta' ċertifikat li dehret fl-istess ħin. Ċertifikat awtoiffirmat fuq semmiegħa RDP jipproduċi twissija bħala disinn, allura li taċċettah hija deċiżjoni u mhux pass.

Għodd l-attentati qabel ma terġa' tipprova. Il-limiti tat-tsakkir tad-desktop jgħoddu d-dħul fallut b'mod separat mill-fallimenti tal-VPN, u klijent li jerġa' jipprova b'timer jista' jaqbeż il-limitu waqt li int għadek qed teditja regola. Dan huwa l-istess mekkaniżmu ta' attentati paralleli li jissakkar il-kontijiet wara bidla tal-password.

X'jista' jċaqlaq is-sessjoni, u fejn jibqa'

Itgħallem il-fluss tal-ħruġ approvat qabel ma jkollok bżonnu. L-għeluq tat-tieqa jista' jiskonnettja biss il-vista filwaqt li s-sessjoni tkompli taħdem skont il-politika konfigurata tagħha, li jgħodd fuq host kondiviż jew awditjat. Oħroġ minn ġos-sessjoni meta l-politika tistenna dan.

Imbagħad iddeċiedi x'jista' jġorr is-sessjoni, għax il-clipboard, id-disks ridiretti, ir-ridirezzjoni tal-printer u t-trasferiment tal-fajls kollha jċaqalqu data bejn is-sistemi lokali u remoti fejn il-politika tippermetti. Applikazzjoni ppubblikata li taħdem fuq in-naħa l-oħra mhijiex awtomatikament fruntiera bla download, u sessjoni li tidher biss qari xorta tista' ġġorr clipboard. Ittestja l-kompitu veru u mhux il-konnessjoni: iftaħ il-fajl, uża l-applikazzjoni u kkonferma r-ridirezzjoni li għandek bżonn. L-gwida ta' Microsoft dwar kif tasal għal desktop remot minn barra tiddeskrivi l-għażliet tal-espożizzjoni appoġġjati, u hija referenza aħjar minn semmiegħa pubblika miżjuda taħt pressjoni.