RDP sa po nainštalovaní VPN klienta zastaví? Na vine je firewall

Niekoľko minút po dokončení inštalácie spotrebiteľského VPN klienta portál stále tvrdí, že VM beží, verejná IP sa nezmenila, a RDP neodpovedá. Ľudia zvyčajne predpokladajú, že VM spadla alebo že sa zmenila skupina zabezpečenia siete, a oboje býva nesprávne. Zmenil sa profil brány Windows, v ktorom sa stroj nachádza, a pravidlo RDP, ktoré predtým sedelo, už nesedí. Oprava začína získaním shellu cestou, ktorá nezávisí od RDP.

VM beží; pravidlo prestalo sedieť

Pravidlá brány Windows nesú sadu profilov a pravidlo obmedzené na Súkromný alebo Doménový nemá žiadny účinok, kým stroj sedí vo Verejnom profile. Inštalátory VPN pridávajú adaptéry a trasy a mnohé z nich Verejný profil sprísňujú ako vedľajší účinok. Naslúchač zostáva zviazaný s 3389 a pakety stále prichádzajú, ale nesúlad profilu ich zahodí.

Stav napájania a dostupnosť sú oddelené skutočnosti a bežiaca VM so zatvoreným portom vyzerá zvonka presne ako spadnutá.

Otestujte port, skôr než čokoľvek zmeníte. Pokus o pripojenie na 3389, ktorý vyprší, zatiaľ čo príkaz hosťovského agenta stále vracia výstup, ukazuje na bránu hostiteľa. Port, ktorý odpovedá, a RDP napriek tomu zlyháva, znamená, že porucha je nad sieťovou vrstvou a táto oprava sa jej nedotkne. Poznačte si, ktorý z dvoch prípadov ste videli, pretože na tom závisí zvyšok plánu.

Dve brány sa zatvárajú nezávisle

Ako prvá beží politika platformy: skupina zabezpečenia siete vidí paket skôr ako hosť. Toto poradie robí dokonalý záznam NSG zbytočným, keď hostiteľ paket zahodí, a otvorené pravidlo hostiteľa zbytočným, keď ho platforma odmietne. Berte ich ako oddelené brány a každú testujte samostatne.

Prečítajte si platné pravidlá NSG na portáli alebo v CLI a potom ich porovnajte s vlastnými pravidlami hosťa. Nepredpokladajte, že posledná zmena, ktorú si pamätáte, je tá, ktorá vstúpila do platnosti.

Spotrebiteľský klient môže tiež nainštalovať filter ovládača alebo kill switch, ktorý blokuje prevádzku pod bránou Windows. Ak pravidlá brány vyzerajú správne a port stále zlyháva, ďalším podozrivým je táto vrstva.

Použite hosťovského agenta ako cestu späť

Dve funkcie vzdialeného spúšťania, Run Command a Custom Script Extension, bežia vnútri hosťa prostredníctvom agenta platformy. Ani jedna nepotrebuje RDP, takže sa ich chyba brány netýka. Obe vracajú výstup skriptu, čo z nich robí diagnostický aj opravný kanál.

Prečítajte si aktívny profil a pravidlo RDP, skôr než zmeníte ktorékoľvek z nich:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Opätovné zapnutie prichádzajúcich pravidiel v tomto profile je dočasné opatrenie, nie cieľ. Použite ho na získanie relácie a potom medzeru riadne uzavrite:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Ten prepínač otvára každé prichádzajúce pravidlo profilu, nielen RDP. Keď máte reláciu, nahraďte ho obmedzeným pravidlom a obnovte nastavenia, ktoré naozaj chcete. Ak agent tiež nie je dostupný, záložným riešením je sériová konzola alebo prestavaný disk, a to je praktický dôvod udržiavať agenta v poriadku.

Zúžte medzeru, skôr než zatvoríte reláciu

Dočasná zmena profilu sú dvere držané otvorené pre každé prichádzajúce pravidlo tohto profilu. Nahraďte ich pravidlom obmedzeným na vašu zdrojovú adresu a port RDP a potom potvrďte, že profil sa vrátil do zamýšľaného stavu. Urobte to, kým ešte máte reláciu, pretože ďalšia chyba nemusí byť na diaľku vratná. Počas zmeny majte pripravenú druhú administratívnu cestu, napríklad Bastion alebo sériovú konzolu.

Overte výsledok zo svojej pracovnej stanice testom portu a zvnútra hosťa zoznamom pravidiel:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Na čas testu zapnite protokolovanie brány. Jediný riadok o zahodenom pakete, ktorý uvádza 3389 a aktívny profil, odpovie na otázku rýchlejšie ako ďalší reštart.

Zabráňte, aby to ďalší inštalátor urobil znova

Ak tento hostiteľ nemá dôvod klienta prevádzkovať, odinštalujte ho. Nainštalovaný klient je trvalé pozvanie, aby ďalšia aktualizácia profil znova prepísala, a ďalší človek bude ladiť ten istý výpadok z portálu.

Urobte snímku disku, skôr než niečomu dovolíte prepísať sieťové nastavenia, a majte druhú administratívnu cestu pripravenú skôr, než ju budete potrebovať.

Zapíšte, čo inštalátor zmenil: adaptéry, trasy, profily brány, filtre ovládačov a služby. Taký záznam premení ďalší incident na známy vzorec namiesto nového vyšetrovania. Keď VM potrebuje tunel presne k jednej službe, dajte klienta na svoju pracovnú stanicu alebo postavte prepojenie medzi lokalitami, namiesto inštalácie produktu pre notebooky na server. Spotrebiteľskí klienti cielia na notebooky a server, ktorý spravujete na diaľku, taký nie je.