Udaljena radna površina kroz VPN: u kojoj se grešci nalazite?

Vaš tunel je aktivan, interni wiki se učitava, a udaljena radna površina još odbija vezu. Ta kombinacija je normalna, jer VPN daje rutu do hosta, dok usluga radne površine mora slušati, biti dopuštena vlastitim firewallom i biti spremna autentificirati račun. Četiri faze greške stoje između ispravnog tunela i upotrebljive sesije, i svaka pada s drugom porukom. Prvo pročitajte poruku, jer ona imenuje fazu.

Četiri greške koje izgledaju kao jedna

Faze su poredane: ime se razrješava na privatnu adresu koju dizajn predviđa, port odgovara na TCP rukovanje, host prihvaća vezu prema vlastitoj politici i prijava u sesiju uspijeva. Svaka faza čini sljedeću neispitljivom, zato mijenjanje RDP postavki prije nego se mreža sredi stvara samo šum. Simptom s korisničke strane izgleda identično u sva četiri slučaja. Samo poruka klijenta ih razdvaja.

Ispravna interna web-stranica ne dokazuje nijednu od četiri. Dokazuje da je host na istoj mreži odgovorio na drugom portu drugom uslugom. Uzmite to kao dokaz o usmjeravanju i ništa više.

Testirajte po redu i zapišite rezultat. Skok na ekran za prijavu zato što je port odgovorio jest način da popodne potrošite na firewall problem koji je prvi korak već locirao.

Sluša li išta na 3389?

Počnite s imenom, jer ime koje se razrješava na pogrešnu adresu obesmišljava svaki kasniji test. Pitajte razrješivač tunela što ime znači, zatim usporedite odgovor s privatnom adresom koju dizajn predviđa, a ne s uspješnim odgovorom. Ime koje se razrješava na javnu adresu jest cijeli problem i nikakva RDP promjena ga neće popraviti:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Zatim testirajte port, a ne host. Dovršeno TCP rukovanje na 3389 odvaja dosegljivost od svega iznad:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Izvedite taj test s LAN-a i iz tunela, jer razlika između dva rezultata lokalizira kvar na VPN put. U putu stoje dva firewalla i lako ih je zamijeniti: mreža mora dopustiti tunelskoj adresi klijenta da dosegne host, a vlastiti firewall hosta mora dopustiti isti izvor na portu koji sluša. Pravilo ograničeno na LAN podmrežu ne pokriva pool VPN klijenata, i to je najčešći uzrok isteka vremena o kojem izvještavaju samo udaljeni korisnici. Provjerite obuhvat, a ne postojanje pravila.

Povratni put zaslužuje istu provjeru. Odgovorima treba ruta natrag u pool klijenata, a ne u LAN, a prijevod ispred hosta mijenja izvor koji će pokazati vaš log. Ako port odgovara u jednom smjeru, a u drugom ne, nedostajuća polovina je obično povratna ruta.

Pročitajte poruku prije konfiguracije

Treća faza je host koji odbija vezu prema vlastitoj politici, što često izgleda kao port koji se odmah otvori i zatvori. Nešto je odgovorilo i to je korisna informacija, a ne tišina. Ako je rukovanje dovršeno i sesija odmah umrla, mreža je u redu i odlučuje host. Pogledajte dopuštenja za udaljenu radnu površinu prije nego ponovno dirate mrežu.

Značajka može biti uključena za računalo, dok je pristup ograničen na određene grupe, a slušalica može biti vezana tako da isključuje adresu s koje ste došli. Autentifikacija na razini mreže dodaje vrata koja padaju prije učitavanja radne površine, a njezin tekst greške razlikuje se od pogrešne lozinke. Usporedite poruku klijenta s dnevnikom događaja hosta, jer poruka imenuje vrata, a dnevnik račun.

Prijava u sesiju vlastita je granica

Autentifikacija pripada usluzi radne površine, ne VPN-u. Identitet tunela i račun radne površine odvojeni su podaci s odvojenim politikama zaključavanja, zato ispravan tunel dokazuje samo da vas je tunel prihvatio. Zaključavanje računa radne površine ne ometa tunel, a vrijedi i obrnuto.

Sačuvajte oboje cjelovitim. Kad privatna ruta nedostaje, popravite rutu, jer objavljivanje slušalice na internetu mijenja grešku dosegljivosti za izloženu radnu površinu. Ne oslabite ni provjere identiteta sesije da biste prošli uz upozorenje o certifikatu koje se pojavilo istodobno. Samopotpisani certifikat na RDP slušalici daje upozorenje po dizajnu, pa je njegovo prihvaćanje odluka, a ne korak.

Izbrojite pokušaje prije ponovnog pokušaja. Pragovi zaključavanja radne površine broje neuspjele prijave odvojeno od VPN neuspjeha, a klijent koji ponavlja po timeru može preći prag dok još uređujete pravilo. To je isti mehanizam paralelnog ponavljanja koji zaključava račune nakon promjene lozinke.

Što sesija može prenositi i gdje to ostaje

Naučite odobreni tijek odjave prije nego vam zatreba. Zatvaranje prozora može samo odspojiti prikaz dok sesija nastavlja raditi prema svojoj konfiguriranoj politici, što je važno na dijeljenom ili revidiranom hostu. Odjavite se iz sesije kad to politika očekuje.

Zatim odlučite što sesija smije nositi, jer međuspremnik, preusmjereni diskovi, preusmjeravanje pisača i prijenos datoteka prenose podatke između lokalnog i udaljenog sustava gdje politika dopušta. Objavljena aplikacija koja radi na drugoj strani nije automatski granica bez preuzimanja, a sesija koja izgleda samo za čitanje ipak može nositi međuspremnik. Testirajte stvarni zadatak, a ne vezu: otvorite datoteku, upotrijebite aplikaciju i potvrdite preusmjeravanje koje trebate. Microsoftove smjernice za pristup udaljenoj radnoj površini izvana opisuju podržane mogućnosti izlaganja i bolji su izvor od javne slušalice dodane pod pritiskom.