Eksternt skrivebord via VPN: hvilken feil er du i?

Tunnelen din er oppe, den interne wikien lastes, og Eksternt skrivebord nekter fortsatt å koble til. Kombinasjonen er normal, fordi VPN gir en rute til verten mens skrivebordstjenesten må lytte, være tillatt av sin egen brannmur og være villig til å autentisere kontoen. Fire feilstadier ligger mellom en fungerende tunnel og en brukbar økt, og hvert av dem feiler med en annen melding. Les meldingen først, siden den navngir stadiet.

Fire feil som ser ut som én

Stadiene er ordnet: navnet slås opp til den private adressen designet forutser, porten svarer på en TCP-håndtrykk, verten godtar tilkoblingen etter sin egen policy, og øktinnloggingen lykkes. Hvert stadie gjør det neste utestbart, og derfor skaper endringer i RDP-innstillinger før nettverket er avklart bare støy. Symptomet ser identisk ut fra brukerens side i alle fire tilfellene. Bare klientens melding skiller dem.

Et fungerende internt nettsted beviser ingen av de fire. Det beviser at en vert på samme nettverk svarte på en annen port med en annen tjeneste. Behandle det som bevis om ruting og ikke noe mer.

Test i rekkefølge og skriv ned resultatet. Å hoppe til innloggingsskjermen fordi porten svarte er måten å bruke en ettermiddag på et brannmurproblem som første trinn allerede har lokalisert.

Lytter noe på 3389?

Begynn med navnet, fordi et navn som slås opp til feil adresse ugyldiggjør hver senere test. Spør tunnelens oppslagstjeneste hva navnet betyr, og sammenlign deretter svaret med den private adressen designet forutser, ikke med et vellykket svar. Et navn som slås opp til en offentlig adresse er hele problemet, og ingen RDP-endring vil rette det:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Test deretter porten i stedet for verten. Et fullført TCP-håndtrykk på 3389 skiller nåbarhet fra alt som ligger over:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Kjør den testen fra LAN og fra tunnelen, fordi en forskjell mellom de to resultatene lokaliserer feilen til VPN-ruten. To brannmurer ligger på ruten, og de er lette å forveksle: nettverket må tillate klientens tunneladresse å nå verten, og vertens egen brannmur må tillate den samme kilden på den lyttende porten. En regel begrenset til LAN-subnettet dekker ikke VPN-klientpoolen, og det er den vanligste årsaken til en tidsavbrudd som bare fjernbrukere rapporterer. Kontroller reglens omfang, ikke om den finnes.

Returveien fortjener samme kontroll. Svar trenger en rute tilbake til klientpoolen i stedet for til LAN, og en oversettelse foran verten endrer kilden loggen din viser. Hvis porten svarer den ene veien og ikke den andre, er den manglende halvdelen vanligvis returveien.

Les meldingen før du leser konfigurasjonen

Det tredje stadiet er verten som avviser tilkoblingen etter sin egen policy, noe som ofte ser ut som en port som åpnes og lukkes umiddelbart. Noe svarte, og det er nyttig informasjon i stedet for stillhet. Hvis håndtrykket ble fullført og økten døde med en gang, er nettverket i orden og verten bestemmer. Se på tillatelsene for Eksternt skrivebord før du rører nettverket igjen.

Funksjonen kan være aktivert for maskinen mens tilgangen er begrenset til bestemte grupper, og lytteren kan være bundet på måter som utelukker adressen du kom fra. Nettverksnivåautentisering legger til en port som feiler før skrivebordet lastes, og feilteksten skiller seg fra et feil passord. Sammenlign klientens melding med vertens hendelseslogg, fordi meldingen navngir porten og loggen navngir kontoen.

Øktinnlogging er sin egen grense

Autentisering tilhører skrivebordstjenesten, ikke VPN. Tunnelens identitet og skrivebordskontoen er separate legitimasjoner med separate låsepolicyer, så en fungerende tunnel beviser bare at tunnelen godtok deg. Låsing av skrivebordskontoen forstyrrer ikke tunnelen, og det motsatte er også sant.

Hold begge intakte. Når den private ruten mangler, reparer ruten, fordi publisering av lytteren på internett bytter en nåbarhetsfeil mot et eksponert skrivebord. Ikke svekk øktens identitetskontroller heller for å komme forbi en sertifikatadvarsel som dukket opp samtidig. Et selvsignert sertifikat på en RDP-lytter gir en advarsel ved design, så å godta det er en beslutning og ikke et trinn.

Tell forsøkene før du prøver igjen. Låsetersklene for skrivebordet teller mislykkede innlogginger separat fra VPN-feil, og en klient som prøver igjen på en timer kan passere terskelen mens du fortsatt redigerer en regel. Det er den samme parallelle gjenforsøksmekanismen som låser kontoer etter en passordendring.

Hva økten kan flytte, og hvor det blir av

Lær den godkjente utloggingsflyten før du trenger den. Å lukke vinduet kan bare koble fra visningen mens økten fortsetter under sin konfigurerte policy, noe som betyr noe på en delt eller revidert vert. Logg ut fra innsiden av økten når policyen forventer det.

Avgjør deretter hva økten kan bære, fordi utklippstavle, omdirigerte stasjoner, skriveromdirigering og filoverføring flytter data mellom de lokale og eksterne systemene der policyen tillater det. En publisert applikasjon som kjører på den andre siden er ikke automatisk en grense uten nedlasting, og en økt som ser skrivebeskyttet ut kan fortsatt bære en utklippstavle. Test den virkelige oppgaven i stedet for tilkoblingen: åpne filen, bruk applikasjonen og bekreft omdirigeringen du trenger. Microsofts veiledning for å nå et eksternt skrivebord utenfra beskriver de støttede eksponeringsalternativene, og den er en bedre referanse enn en offentlig lytter lagt til under press.