Stopper RDP etter installasjon av en VPN-klient? Det er brannmuren

Minutter etter at en forbruker-VPN-klient er ferdig installert, sier portalen fortsatt at VM-en kjører, den offentlige IP-en er ikke endret, og RDP svarer ikke. Folk antar vanligvis at VM-en krasjet eller at nettverkssikkerhetsgruppen ble endret, og begge er vanligvis feil. Det som er endret, er Windows-brannmurprofilen maskinen står i, og RDP-regelen som passet før, passer ikke lenger. Reparasjonen begynner med å skaffe et skall via en vei som ikke avhenger av RDP.

VM-en kjører; regelen passer ikke lenger

Brannmurregler i Windows har et sett med profiler, og en regel begrenset til Privat eller Domene har ingen virkning mens maskinen står på den Offentlige profilen. VPN-installasjoner legger til adaptere og ruter, og flere av dem strammer inn Offentlig som en bivirkning. Lytteren forblir bundet til 3389, og pakkene kommer fortsatt inn, men profilavviket forkaster dem.

Strømtilstand og tilgjengelighet er separate fakta, og en kjørende VM med lukket port ser utenfra nøyaktig ut som en som har krasjet.

Undersøk porten før du endrer noe. Et tilkoblingsforsøk til 3389 som timer ut mens en kommando til gjesteagenten fortsatt returnerer utdata, peker på vertens brannmur. En port som svarer mens RDP fortsatt feiler, betyr at feilen sitter over nettverkslaget, og denne reparasjonen vil ikke røre den. Noter hvilken av de to du så, for resten av planen avhenger av det.

To porter lukkes uavhengig av hverandre

Plattformpolitikken går først: nettverkssikkerhetsgruppen ser pakken før gjesten. Den rekkefølgen gjør en perfekt NSG-oppføring ubrukelig når verten forkaster pakken, og en åpen vertsregel ubrukelig når plattformen avviser den. Behandle dem som separate porter og test hver for seg.

Les NSGs gjeldende regler i portalen eller CLI, og sammenlign dem deretter med gjestens egne regler. Ikke anta at den siste endringen du husker, er den som trådte i kraft.

En forbrukerklient kan også installere en filterdriver eller en kill switch som blokkerer trafikk under Windows-brannmuren. Hvis brannmurreglene ser riktige ut og porten fortsatt feiler, er det laget den neste mistenkte.

Bruk gjesteagenten som vei tilbake

To fjernkjøringsfunksjoner, Run Command og Custom Script Extension, kjører inne i gjesten via plattformagenten. Ingen av dem trenger RDP, så brannmurfeilen påvirker dem ikke. Begge returnerer skriptets utdata, noe som gjør dem til en diagnostisk kanal og samtidig en reparasjonskanal.

Les den aktive profilen og RDP-regelen før du endrer noen av dem:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Å gjenaktivere innkommende regler på den profilen er et midlertidig tiltak, ikke et mål. Bruk det til å få en økt, og lukk deretter gapet ordentlig:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Den bryteren åpner hver innkommende regel på profilen, ikke bare RDP. Når du har en økt, erstatt den med en begrenset regel og gjenopprett innstillingene du faktisk vil ha. Hvis agenten også er utilgjengelig, er en seriell konsoll eller en gjenoppbygd disk fallback, og det er den praktiske grunnen til å holde agenten sunn.

Begrens gapet før du lukker økten

Den midlertidige profilendringen er en dør som holdes åpen for hver innkommende regel på den profilen. Erstatt den med en regel begrenset til kildeadressen din og RDP-porten, og bekreft deretter at profilen er tilbake i tiltenkt tilstand. Gjør dette mens du fortsatt har økten, for den neste feilen er kanskje ikke reverserbar eksternt. Hold en andre administrativ vei som Bastion eller en seriell konsoll klar under endringen.

Bekreft resultatet fra arbeidsstasjonen din med en porttest, og inne fra gjesten med regellisten:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Slå på brannmurlogging i testperioden. En enkelt linje om en forkastet pakke som nevner 3389 og den aktive profilen, svarer på spørsmålet raskere enn en ny omstart.

Hindr den neste installasjonen i å gjøre det igjen

Hvis den verten ikke har noen grunn til å kjøre klienten, avinstaller den. En installert klient er en stående invitasjon til at den neste oppdateringen skriver profilen på nytt, og den neste personen vil feilsøke samme avbrudd fra portalen.

Ta et øyeblikksbilde av disken før du lar noe skrive om nettverksinnstillingene, og hold en andre administrativ vei klar før du trenger den.

Noter hva installasjonen endret: adaptere, ruter, brannmurprofiler, filterdrivere og tjenester. Den registreringen gjør den neste hendelsen til et kjent mønster i stedet for en ny undersøkelse. Når VM-en trenger en tunnel til nøyaktig én tjeneste, sett klienten på arbeidsstasjonen din eller bygg en nettsted-til-nettsted-forbindelse i stedet for å installere et laptop-produkt på serveren. Forbrukerklienter er rettet mot laptoper, og en server du administrerer eksternt, er ikke det.