Eksternt skrivebord via VPN: kva feil er du i?

Tunnelen din er oppe, den interne wikien lastar, og Eksternt skrivebord nektar framleis å kopla til. Kombinasjonen er normal, fordi VPN gjev ei rute til verten medan skrivebordstenesta må lyda, vera tillaten av sin eigen brannmur og vera viljug til å autentisera kontoen. Fire feilsteg ligg mellom ein fungerande tunnel og ei brukbar økt, og kvart av dei feilar med ei anna melding. Les meldinga fyrst, sidan ho namngjev steget.

Fire feil som ser ut som éin

Stega er ordna: namnet vert slått opp til den private adressa designet føreset, porten svarar på eit TCP-handtrykk, verten godtek tilkoplinga etter sin eigen policy, og øktinnlogginga lukkast. Kvart steg gjer det neste utestbart, og difor skapar endringar i RDP-innstillingar før nettet er avklart berre støy. Symptomet ser identisk ut frå brukaren si side i alle fire tilfella. Berre meldinga frå klienten skil dei.

Eit fungerande internt nettstad beviser ingen av dei fire. Det beviser at ein vert på same nett svara på ein annan port med ei anna teneste. Handsame det som prov om ruting og ikkje noko meir.

Test i rekkjefølgje og skriv ned resultatet. Å hoppa til innloggingsskjermen fordi porten svara er måten å bruka ein ettermiddag på eit brannmurproblem som fyrste steg alt har lokalisert.

Lyder noko på 3389?

Byrja med namnet, fordi eit namn som vert slått opp til feil adresse gjer kvar seinare test ugyldig. Spør oppslagstenesta til tunnelen kva namnet tyder, og samanlikn deretter svaret med den private adressa designet føreset, ikkje med eit vellukka svar. Eit namn som vert slått opp til ei offentleg adresse er heile problemet, og inga RDP-endring vil retta det:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Test deretter porten i staden for verten. Eit fullført TCP-handtrykk på 3389 skil nåbarheit frå alt som ligg over:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Køyr den testen frå LAN og frå tunnelen, fordi ein skilnad mellom dei to resultata lokaliserer feilen til VPN-ruta. To brannmurar ligg på ruta, og dei er lette å forveksla: nettet må tillata tunneladressa til klienten å nå verten, og brannmuren til verten sjølv må tillata same kjelda på den lyttande porten. Ei regel avgrensa til LAN-subnettet dekkjer ikkje VPN-klientpoolen, og det er den vanlegaste årsaka til ein tidsavbrot som berre fjernbrukarar rapporterer. Kontroller omfanget, ikkje om regelen finst.

Returvegen fortener same kontroll. Svar treng ei rute tilbake til klientpoolen i staden for til LAN, og ei omsetjing framfor verten endrar kjelda loggen din viser. Viss porten svarar den eine vegen og ikkje den andre, er den manglande halvdelen vanlegvis returvegen.

Les meldinga før du les konfigurasjonen

Det tredje steget er verten som avviser tilkoplinga etter sin eigen policy, noko som ofte ser ut som ein port som opnar og stengjer med ein gong. Noko svara, og det er nyttig informasjon i staden for stille. Viss handtrykket vart fullført og økta døydde med ein gong, er nettet i orden og verten avgjer. Sjå på løyva for Eksternt skrivebord før du rører nettet att.

Funksjonen kan vera slått på for maskinen medan tilgangen er avgrensa til bestemte grupper, og lyttaren kan vera bunden på måtar som utelèt adressa du kom frå. Autentisering på nettnivå legg til ein port som feilar før skrivebordet lastar, og feilteksten skil seg frå eit feil passord. Samanlikn meldinga frå klienten med hendingsloggen til verten, fordi meldinga namngjev porten og loggen namngjev kontoen.

Øktinnlogging er si eiga grense

Autentisering høyrer til skrivebordstenesta, ikkje VPN. Identiteten til tunnelen og skrivebordskontoen er separate legitimasjonar med separate låsepolicyar, så ein fungerande tunnel beviser berre at tunnelen godtok deg. Låsing av skrivebordskontoen forstyrrar ikkje tunnelen, og det motsette er også sant.

Hald begge intakte. Når den private ruta manglar, reparer ruta, fordi publisering av lyttaren på internett byter ein nåbarheitsfeil mot eit eksponert skrivebord. Ikkje svekk identitetskontrollane i økta heller for å koma forbi ei sertifikatåtvaring som dukka opp samstundes. Eit sjølvsignert sertifikat på ein RDP-lyttar gjev ei åtvaring ved design, så å godta det er eit vedtak og ikkje eit steg.

Tel freistnadene før du prøver att. Låsetersklane for skrivebordet tel mislukka innloggingar separat frå VPN-feil, og ein klient som prøver att på ein timer kan passera terskelen medan du framleis redigerer ei regel. Det er den same parallelle gjenfreistnadsmekanismen som låser kontoar etter ei passordendring.

Kva økta kan flytta, og kvar det vert av

Lær den godkjende utloggingsflyten før du treng han. Å lukka vindauget kan berre kopla frå visinga medan økta held fram under sin konfigurerte policy, noko som tel på ein delt eller revidert vert. Logg ut frå innsida av økta når policyen ventar det.

Avgjer deretter kva økta kan bera, fordi utklippstavle, omdirigerte stasjonar, skrivaromdirigering og filoverføring flyttar data mellom dei lokale og eksterne systema der policyen tillét det. Ein publisert applikasjon som køyrer på den andre sida er ikkje automatisk ei grense utan nedlasting, og ei økt som ser skriveverna ut kan framleis bera ei utklippstavle. Test den verkelege oppgåva i staden for tilkoplinga: opne fila, bruk applikasjonen og stadfest omdirigeringa du treng. rettleiinga frå Microsoft om å nå eit eksternt skrivebord utanfrå skildrar dei støtta eksponeringsvala, og ho er ei betre kjelde enn ein offentleg lyttar lagd til under press.