RDP stopt na het installeren van een VPN-client? Het is de firewall

Enkele minuten nadat een consumenten-VPN-client klaar is met installeren, meldt de portal nog steeds dat de VM draait, het openbare IP is niet gewijzigd en RDP reageert niet. Mensen gaan er meestal van uit dat de VM is gecrasht of dat de netwerkbeveiligingsgroep is gewijzigd, en beide zijn meestal onjuist. Wat is gewijzigd, is het Windows-firewallprofiel waarin de machine staat, en de RDP-regel die eerder overeenkwam, komt niet meer overeen. De reparatie begint met een shell via een pad dat niet van RDP afhangt.

De VM draait; de regel komt niet meer overeen

Firewallregels in Windows dragen een set profielen, en een regel die is beperkt tot Privé of Domein heeft geen effect zolang de machine op het Openbare profiel staat. VPN-installers voegen adapters en routes toe, en verschillende daarvan versterken Openbaar als bijeffect. De listener blijft aan 3389 gebonden en de pakketten komen nog steeds aan, maar de profielmismatch gooit ze weg.

Voedingsstatus en bereikbaarheid zijn aparte feiten, en een draaiende VM met een gesloten poort ziet er van buiten precies hetzelfde uit als een gecrashte.

Test de poort voordat u iets wijzigt. Een verbindingspoging naar 3389 die in een time-out loopt terwijl een commando van de gastagent nog output teruggeeft, wijst op de firewall van de host. Een poort die antwoordt terwijl RDP nog steeds faalt, betekent dat de fout boven de netwerklaag zit, en deze reparatie raakt die niet aan. Noteer welk van de twee gevallen u zag, want de rest van het plan hangt daarvan af.

Twee poorten sluiten onafhankelijk van elkaar

Het platformbeleid gaat eerst: de netwerkbeveiligingsgroep ziet het pakket voordat de gast dat doet. Die volgorde maakt een perfecte NSG-vermelding nutteloos wanneer de host het pakket weggooit, en een open hostregel nutteloos wanneer het platform die weigert. Behandel ze als aparte poorten en test elke poort afzonderlijk.

Lees de effectieve regels van de NSG in de portal of de CLI en vergelijk ze daarna met de eigen regels van de gast. Ga er niet van uit dat de laatste wijziging die u zich herinnert, degene is die van kracht is geworden.

Een consumentenclient kan ook een filterstuurprogramma of een kill switch installeren die verkeer onder de Windows-firewall blokkeert. Als de firewallregels er correct uitzien en de poort toch faalt, is die laag de volgende verdachte.

Gebruik de gastagent als weg terug

Twee functies voor uitvoering op afstand, Run Command en de Custom Script Extension, draaien in de gast via de platformagent. Geen van beide heeft RDP nodig, dus de firewallfout heeft er geen invloed op. Beide geven de uitvoer van het script terug, wat ze tot een diagnose- én reparatiekanaal maakt.

Lees het actieve profiel en de RDP-regel voordat u een van beide wijzigt:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Inkomende regels op dat profiel weer inschakelen is een tijdelijke maatregel, geen bestemming. Gebruik het om een sessie te krijgen en sluit daarna het gat goed:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Die schakelaar opent elke inkomende regel op het profiel, niet alleen RDP. Zodra u een sessie hebt, vervangt u die door een beperkte regel en herstelt u de instellingen die u echt wilt. Als de agent ook niet beschikbaar is, zijn een seriële console of een opnieuw opgebouwde schijf de terugvaloptie, en dat is de praktische reden om de agent gezond te houden.

Vernauw het gat voordat u de sessie sluit

De tijdelijke profielwijziging is een deur die open wordt gehouden voor elke inkomende regel van dat profiel. Vervang die door een regel die is beperkt tot uw bronadres en de RDP-poort, en bevestig daarna dat het profiel terug is in de beoogde staat. Doe dit terwijl u de sessie nog hebt, want de volgende fout is misschien niet op afstand ongedaan te maken. Houd tijdens de wijziging een tweede beheerpad zoals Bastion of een seriële console bij de hand.

Bevestig het resultaat vanaf uw werkstation met een poorttest, en van binnenuit de gast met de regellijst:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Schakel firewallregistratie in voor de duur van de test. Eén regel over een weggegooid pakket die 3389 en het actieve profiel noemt, beantwoordt de vraag sneller dan nog een herstart.

Voorkom dat de volgende installatie het opnieuw doet

Als die host geen reden heeft om de client te draaien, verwijdert u hem. Een geïnstalleerde client is een staande uitnodiging voor de volgende update om het profiel opnieuw te schrijven, en de volgende persoon zal dezelfde storing vanaf de portal debuggen.

Maak een momentopname van de schijf voordat u iets netwerkinstellingen laat herschrijven, en houd een tweede beheerpad gereed voordat u het nodig hebt.

Noteer wat de installatie heeft gewijzigd: adapters, routes, firewallprofielen, filterstuurprogramma’s en services. Dat verslag maakt het volgende incident een bekend patroon in plaats van een nieuw onderzoek. Wanneer de VM een tunnel naar precies één service nodig heeft, zet de client dan op uw werkstation of bouw een site-naar-site-verbinding in plaats van een laptopproduct op de server te installeren. Consumentenclients richten zich op laptops, en een server die u op afstand beheert is dat niet.