Stoppar RDP etter installasjon av ein VPN-klient? Det er brannmuren

Minutt etter at ein forbrukar-VPN-klient er ferdig installert, seier portalen framleis at VM-en køyrer, den offentlege IP-en er ikkje endra, og RDP svarar ikkje. Folk trur vanlegvis at VM-en krasja eller at nettverkssikkerheitsgruppa vart endra, og begge er vanlegvis feil. Det som er endra, er Windows-brannmurprofilen maskinen står i, og RDP-regelen som passa før, passar ikkje lenger. Reparasjonen byrjar med å skaffa eit skal via ein veg som ikkje er avhengig av RDP.

VM-en køyrer; regelen passar ikkje lenger

Brannmurreglar i Windows har eit sett med profilar, og ein regel avgrensa til Privat eller Domene har inga verknad medan maskinen står på den Offentlege profilen. VPN-installasjonar legg til adapterar og ruter, og fleire av dei strammar inn Offentleg som ei biverknad. Lyttaren blir verande bunden til 3389, og pakkane kjem framleis inn, men profilavviket kastar dei.

Straumband og tilgjenge er separate fakta, og ein køyrande VM med lukka port ser utanfrå nøyaktig ut som ein som har krasja.

Undersøk porten før du endrar noko. Eit tilkoplingsforsøk til 3389 som går ut på tid medan ein kommando til gjesteagenten framleis returnerer utdata, peikar på brannmuren til verten. Ein port som svarar medan RDP framleis feilar, tyder på at feilen sit over nettverkslaget, og denne reparasjonen vil ikkje røra han. Noter kva av dei to du såg, for resten av planen er avhengig av det.

To portar blir lukka uavhengig av kvarandre

Plattformpolitikken går først: nettverkssikkerheitsgruppa ser pakken før gjesten. Den rekkjefølgja gjer ein perfekt NSG-oppføring ubrukeleg når verten kastar pakken, og ein open vertsregel ubrukeleg når plattformen avviser han. Handsame dei som separate portar og test kvar for seg.

Les dei gjeldande reglane til NSG i portalen eller CLI, og samanlikn dei deretter med gjestens eigne reglar. Ikkje rekn med at den siste endringa du hugsar, er den som tok til å gjelde.

Ein forbrukarklient kan også installera ein filterdrivar eller ein kill switch som blokkerer trafikk under Windows-brannmuren. Viss brannmurreglane ser riktige ut og porten framleis feilar, er det laget den neste mistenkte.

Bruk gjesteagenten som veg tilbake

To fjernkøyringsfunksjonar, Run Command og Custom Script Extension, køyrer inne i gjesten via plattformagenten. Ingen av dei treng RDP, så brannmurfeilen påverkar dei ikkje. Begge returnerer utdata frå skriptet, noko som gjer dei til ein diagnostisk kanal og samstundes ein reparasjonskanal.

Les den aktive profilen og RDP-regelen før du endrar nokon av dei:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Å ta i bruk inngåande reglar på den profilen igjen er eit mellombels tiltak, ikkje eit mål. Bruk det til å få ein økt, og lukk deretter gapet ordentleg:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Den brytaren opnar kvar inngåande regel på profilen, ikkje berre RDP. Når du har ei økt, erstatt han med ein avgrensa regel og gjenopprett innstillingane du faktisk vil ha. Viss agenten også er utilgjengeleg, er ein seriell konsoll eller ein gjenoppbygd disk reserve, og det er den praktiske grunnen til å halda agenten sunn.

Avgrens gapet før du lukkar økta

Den mellombelse profilendringa er ei dør som blir halden open for kvar inngåande regel på den profilen. Erstatt ho med ein regel avgrensa til kjeldeadressa di og RDP-porten, og stadfest deretter at profilen er tilbake i tiltenkt tilstand. Gjer dette medan du framleis har økta, for den neste feilen er kanskje ikkje reverserbar eksternt. Hald ein andre administrativ veg som Bastion eller ein seriell konsoll klar under endringa.

Stadfest resultatet frå arbeidsstasjonen din med ein porttest, og inne frå gjesten med regellista:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Slå på brannmurlogging i testperioden. Ei einaste line om ein forkasta pakke som nemner 3389 og den aktive profilen, svarar på spørsmålet raskare enn ein ny omstart.

Hindr den neste installasjonen i å gjera det igjen

Viss den verten ikkje har nokon grunn til å køyra klienten, avinstaller han. Ein installert klient er ei ståande invitasjon til at den neste oppdateringa skriv profilen på nytt, og den neste personen vil feilsøkja same avbrotet frå portalen.

Ta eit augeblinksbilete av disken før du lèt noko skriva om nettverksinnstillingane, og hald ein andre administrativ veg klar før du treng han.

Noter kva installasjonen endra: adapterar, ruter, brannmurprofilar, filterdrivarar og tenester. Den registreringa gjer den neste hendinga til eit kjent mønster i staden for ei ny undersøking. Når VM-en treng ein tunnel til nøyaktig éin teneste, set klienten på arbeidsstasjonen din eller bygg eit samband mellom nettstader i staden for å installera eit laptop-produkt på serveren. Forbrukarklientar er retta mot laptopar, og ein server du administrerer eksternt, er ikkje det.