Может ли VPN заменить удалённый рабочий стол? Что делает каждый из них

Открывается окно, запрашивает учётные данные, затем остаётся пустым или закрывается, и пользователь сообщает, что VPN сломал удалённый доступ. Иногда туннель в порядке, а сеанс так и не начался. Знание того, где на самом деле выполняется приложение, и разделяет эти случаи, потому что туннель и сеанс рабочего стола дают разные вещи и отказывают в разных местах.

Туннель даёт вашему устройству путь в сеть. Сеанс рабочего стола даёт экран и клавиатуру, подключённые к другой машине.

Симптом зависит от того, где выполняется приложение

При прямом доступе через туннель приложение работает на вашем собственном устройстве, а его запросы идут по разрешённому частному маршруту к файловому ресурсу или внутреннему сайту. Если это приложение отказывает, вы видите проблему с разрешением имён или маршрутизацией, а локальная программа в остальном ведёт себя нормально.

В удалённом сеансе приложение работает на дальней машине, а ваше устройство получает его изображение. Это полностью меняет список неисправностей: хост сеанса должен быть доступен, служба, принимающая подключения, должна слушать, а ваша учётная запись должна быть авторизована и на туннеле, и на хосте. Пустое окно после успешного входа в туннель обычно означает, что вторая аутентификация так и не прошла.

Обе схемы могут сосуществовать для одного и того же пользователя. Обычная конфигурация требует сначала туннеля, а затем сеанса рабочего стола внутри него, поэтому частичный успех так легко принять за одну сломанную функцию.

Производительность следует за нагрузкой, а не за названием

Открытие большого файла напрямую через туннель перемещает этот файл по сети, и видимая задержка следует за передачей, а не за щелчком. В удалённом сеансе файл может вообще не покидать дата-центр, что убирает передачу и заменяет её обновлением экрана и задержкой ввода. Ни одна схема не быстрее в целом, потому что они перемещают разные вещи. Спросите, какой величины пользователь на самом деле ждёт, прежде чем выбирать метрику.

Эта разница важна, когда кто-то сообщает о медлительности. Удалённый сеанс, который кажется вялым при наборе текста, чувствителен к задержке кругового обхода, тогда как прямое открытие файла через тот же туннель чувствительно к пропускной способности. Измеряйте задачу, а не общий показатель скорости, и проверяйте именно ту операцию, на которую жалуется пользователь.

Интерактивная работа на пути с высокой задержкой ухудшается по мере того, как меняется большая часть экрана, поэтому прокрутка документа ощущается иначе, чем наблюдение за неподвижным окном. Если жалоба касается отзывчивости, а не времени завершения, то место нагрузки — та переменная, которую стоит изменить.

Когда что-то отказывает, проверяйте каждый уровень отдельно

Двигайтесь изнутри наружу и записывайте, что возвращает каждый шаг, потому что перезапуск всего сразу уничтожает доказательства. Подтвердите, что туннель поднят, затем что частный маршрут разрешается, затем что хост сеанса принимает подключения, затем что ваша учётная запись на нём разрешена.

Test-NetConnection -ComputerName 172.20.8.30 -Port 3389
Resolve-DnsName workstation-14.corp.example
qwinsta /server:172.20.8.30

Маршрут, который отвечает, и порт, который отказывает, — разные результаты, а порт, который отвечает, когда ваши учётные данные отклоняются, — третий. Если развёртывание использует управляемый шлюз доступа вместо туннеля в офис, следуйте этой архитектуре, а не выставляйте службу рабочего стола в интернет только потому, что частный маршрут отказал.

Шифрование и авторизация — тоже отдельные задачи. Туннель шифрует путь, протокол сеанса аутентифицирует вас на хосте, а приложение может аутентифицировать вас ещё раз. Прохождение первой проверки ничего не говорит о третьей, и руководство о том, как добраться до удалённого компьютера извне сети описывает части, необходимые работающему развёртыванию.

Решите, что должно оставаться внутри организации

Считать, что удалённый сеанс держит каждый документ в дата-центре, небезопасно. Общий буфер обмена, перенаправленные диски и печать могут переносить информацию между двумя средами всякий раз, когда это разрешает политика, а туннель не ограничивает, какие файлы авторизованный пользователь копирует из доступного ресурса. Если требуется изоляция, проверьте фактические средства контроля передачи сеанса, а не доверяйте схеме архитектуры. Спросите владельца сеанса, какие перенаправления включены, прежде чем что-то обещать от его имени.

Время жизни сеанса — другой сюрприз. Закрытие окна может оставить сеанс работающим на хосте, поэтому потеря туннеля может сделать его только временно недоступным. Узнайте одобренный способ завершить работу на общей машине и после этого проверьте хост, а не предполагайте, что выход произошёл.

Запишите, какой уровень отказал, что вы изменили и что пользователь должен проверить снова. Эта запись ценнее решения, которое никто не может воспроизвести.