RDP przestaje działać po instalacji klienta VPN? To wina zapory

Kilka minut po zakończeniu instalacji konsumenckiego klienta VPN portal nadal twierdzi, że VM działa, publiczny adres IP się nie zmienił, a RDP nie odpowiada. Ludzie zwykle zakładają, że VM się zawiesiła albo że zmieniła się sieciowa grupa zabezpieczeń, i oba te założenia są zwykle błędne. Zmienił się profil zapory Windows, w którym znajduje się maszyna, a reguła RDP, która wcześniej pasowała, już nie pasuje. Naprawa zaczyna się od uzyskania powłoki drogą, która nie zależy od RDP.

VM działa; reguła przestała pasować

Reguły zapory Windows mają zestaw profilów, a reguła ograniczona do profilu Prywatny lub Domena nie działa, dopóki maszyna jest w profilu Publiczny. Instalatory VPN dodają adaptery i trasy, a wiele z nich jako efekt uboczny zaostrza profil Publiczny. Nasłuch pozostaje związany z portem 3389 i pakiety nadal docierają, ale niezgodność profilu je odrzuca.

Stan zasilania i osiągalność to osobne fakty, a działająca VM z zamkniętym portem wygląda z zewnątrz dokładnie jak zawieszona.

Sprawdź port, zanim cokolwiek zmienisz. Próba połączenia z portem 3389, która kończy się przekroczeniem czasu, podczas gdy polecenie agenta gościa nadal zwraca dane wyjściowe, wskazuje na zaporę hosta. Port, który odpowiada, a RDP nadal zawodzi, oznacza, że usterka jest powyżej warstwy sieci, i ta naprawa jej nie dotknie. Zanotuj, który z dwóch przypadków widziałeś, bo od tego zależy reszta planu.

Dwie bramy zamykają się niezależnie

Najpierw działa polityka platformy: sieciowa grupa zabezpieczeń widzi pakiet przed gościem. Ta kolejność czyni doskonały wpis NSG bezużytecznym, gdy host odrzuca pakiet, a otwartą regułę hosta bezużyteczną, gdy platforma jej odmawia. Traktuj je jako osobne bramy i testuj każdą z osobna.

Przeczytaj obowiązujące reguły NSG w portalu lub w CLI, a następnie porównaj je z własnymi regułami gościa. Nie zakładaj, że ostatnia zapamiętana zmiana jest tą, która weszła w życie.

Klient konsumencki może też zainstalować sterownik filtra lub kill switch, który blokuje ruch poniżej zapory Windows. Jeśli reguły zapory wyglądają poprawnie, a port nadal zawodzi, następnym podejrzanym jest ta warstwa.

Użyj agenta gościa jako drogi powrotu

Dwie funkcje zdalnego wykonywania, Run Command i Custom Script Extension, działają wewnątrz gościa przez agenta platformy. Żadna nie potrzebuje RDP, więc błąd zapory ich nie dotyczy. Obie zwracają dane wyjściowe skryptu, co czyni je kanałem diagnostycznym i zarazem naprawczym.

Przeczytaj aktywny profil i regułę RDP, zanim zmienisz którąkolwiek z nich:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Ponowne włączenie reguł przychodzących w tym profilu to środek tymczasowy, a nie cel. Użyj go, aby uzyskać sesję, a potem porządnie zamknij lukę:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Ten przełącznik otwiera każdą regułę przychodzącą w profilu, nie tylko RDP. Gdy masz sesję, zastąp go regułą ograniczoną i przywróć ustawienia, których naprawdę chcesz. Jeśli agent również jest niedostępny, wariantem zapasowym jest konsola szeregowa lub odbudowany dysk, i to jest praktyczny powód, by utrzymywać agenta w dobrej kondycji.

Zawęź lukę, zanim zamkniesz sesję

Tymczasowa zmiana profilu to drzwi trzymane otwarte dla każdej reguły przychodzącej w tym profilu. Zastąp ją regułą ograniczoną do twojego adresu źródłowego i portu RDP, a następnie potwierdź, że profil wrócił do zamierzonego stanu. Zrób to, dopóki masz jeszcze sesję, bo następny błąd może nie być odwracalny zdalnie. Podczas zmiany trzymaj gotową drugą drogę administracyjną, taką jak Bastion lub konsola szeregowa.

Potwierdź wynik ze swojej stacji roboczej testem portu, a od wewnątrz gościa listą reguł:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Włącz rejestrowanie zapory na czas testu. Jedna linia o odrzuconym pakiecie, która wymienia 3389 i aktywny profil, odpowiada na pytanie szybciej niż kolejny restart.

Nie pozwól następnemu instalatorowi zrobić tego ponownie

Jeśli ten host nie ma powodu uruchamiać klienta, odinstaluj go. Zainstalowany klient to stałe zaproszenie, by następna aktualizacja znów przepisała profil, a następna osoba będzie debugować tę samą awarię z portalu.

Zrób migawkę dysku, zanim pozwolisz czemukolwiek przepisać ustawienia sieci, i przygotuj drugą drogę administracyjną, zanim będzie potrzebna.

Zanotuj, co instalator zmienił: adaptery, trasy, profile zapory, sterowniki filtra i usługi. Ten zapis zamienia następny incydent w znany wzorzec zamiast nowego dochodzenia. Gdy VM potrzebuje tunelu dokładnie do jednej usługi, umieść klienta na swojej stacji roboczej albo zbuduj połączenie między lokacjami, zamiast instalować na serwerze produkt dla laptopów. Klienci dla użytkowników domowych są przeznaczeni do laptopów, a serwer, którym administrujesz zdalnie, taki nie jest.