Prečo RDP zamrzne, keď sa vzdialený počítač pripojí k VPN

Ste v okne RDP, pracovná plocha je na obrazovke a v klientovi VPN, ktorý beží na onom vzdialenom počítači, stlačíte Connect. O pár sekúnd okno zamrzne a potom sa zavrie. Tunel sa zdvihol, presne to zapíše log VPN, a to je najmenej užitočný fakt v celom incidente. Relácia zomrela, pretože počítač, s ktorým ste hovorili, zmenil spôsob, akým vám odpovedá, preto si prejdite spätnú cestu skôr, než sa dotknete tunela.

Poznačte si koncový bod, ktorý vaša relácia skutočne používa

Adresa zadaná do klienta RDP nemusí byť adresa, na ktorú vzdialený počítač odpovedá. NAT, RD Gateway alebo vyvažovač zaťaženia pred hostiteľom ju môžu prepísať a spätnú cestu určuje zdrojová adresa, ktorú vzdialený počítač vidí na nadviazanom spojení. Ak to pomýlite, budete hľadať trasu, ktorá v tom nikdy nebola.

Na vzdialenom počítači, kým VPN nie je pripojená, vypíšte nadviazané relácie a prečítajte adresu partnera z tabuľky. Potom si ju zapíšte niekde mimo tohto počítača, pretože po páde relácie ju už neprečítate.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Berte túto adresu ako vec, ktorá musí zostať dostupná. Ak je to privátna adresa v riadiacej VLAN, tunel musí tú cestu nechať na pokoji. Ak je to verejná adresa, odpoveď musí odísť tým istým rozhraním, ktoré prinieslo požiadavku dnu.

Prečítajte trasu, ktorá na tento koncový bod odpovedá

Windows vyberá rozhranie pre každý cieľ, a Find-NetRoute ukazuje rozhodnutie, ktoré by teraz urobil. Spustite ho na adresu partnera pred pripojením, potom znova so zdvihnutým tunelom, a porovnajte index rozhrania a ďalší skok v oboch odpovediach. Zmena rozhrania je celá chyba v jednom riadku výstupu.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Profil plného tunela nainštaluje predvolenú trasu cez tunel, ako opisuje príručka Windows pre smerovanie VPN, takže každá odpoveď teraz odchádza cez VPN a závisí od toho, či protistrana smeruje späť k vášmu klientovi. Profil rozdeleného tunela je predvolene bezpečnejší, ale nie je imúnny, pretože konkrétna trasa pokrývajúca adresu partnera môže stále prebiť fyzickú predvolenú trasu. V každom prípade je otázka rovnaká: keď sa tunel zdvihne, prekladá sa adresa partnera stále na rozhranie, ktoré prinieslo reláciu dnu?

Ak nie, oprava patrí do profilu alebo do výslovnej výnimky trasy schválenej vlastníkom politiky VPN. Ručná úprava smerovacej tabuľky na produkčnom hostiteľovi počas incidentu je spôsob, akým sa z dočasného obchádzania stane nedokumentovaná konfigurácia.

Sledujte zmenu profilu brány firewall

Nové rozhranie sa pri objavení klasifikuje a klasifikácia rozhoduje, podľa ktorého profilu brány firewall sa posudzuje jeho prevádzka. Tunelový adaptér, ktorý skončí v kategórii Public, môže ticho zastaviť prichádzajúce RDP, aj keď smerovacia tabuľka vyzerá dokonale. To je druhý režim zlyhania a dáva iný príznak: trasa je správna, pakety prichádzajú a hostiteľ spojenie odmieta.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Porovnajte profil priradený tunelovému rozhraniu s profilmi, na ktoré sú zamerané pravidlá Remote Desktop. Pravidlo povolené len pre Domain a Private nerobí pre rozhranie klasifikované ako Public nič a žiadna oprava trasy to nezmení. Niektorí klienti VPN tiež zámerne obmedzujú prístup k miestnej podsieti, čo vytvára rovnaký tvar zlyhania z iného mechanizmu.

Vyskúšajte prechod z miesta, odkiaľ sa môžete vrátiť

Vykonajte celú sekvenciu z mimopásmovej konzoly alebo druhej riadiacej cesty v tomto poradí: potvrďte existujúcu reláciu, pripojte VPN, otvorte novú reláciu, potom odpojte VPN a otvorte ďalšiu. Každý krok testuje iný prechod a prvý, ktorý zlyhá, vám povie, ktorý mechanizmus je zodpovedný.

Naplánujte návrat ešte pred začiatkom, napríklad naplánovanú úlohu, ktorá spúšťa rasdial "Work VPN" /disconnect po stanovenom intervale. To premení stratenú reláciu na päťminútové prerušenie namiesto návštevy na mieste, a to je najlacnejšia poistka v celom postupe.

Vráťte sa dnu, keď je relácia už preč

Ak je hostiteľ už nedostupný, prestaňte skúšať nové RDP spojenia z toho istého klienta a použite záložný kanál, ktorý prostredie už má: RD Gateway, konzolu hypervízora alebo mimopásmové riadiace rozhranie. Požiadajte osobu s prístupom ku konzole, aby spustila rovnaké príkazy Find-NetRoute a Get-NetConnectionProfile, aby dôkazy prežili obnovu.

Potom rozhodnite trvalé usporiadanie, nie to najrýchlejšie. Buď je riadiaca cesta výslovne zachovaná profilom VPN, alebo sa správa presunie na kanál, ktorý nezávisí od predvolenej trasy hostiteľa. Oboje je obhájiteľné; trasa hostiteľa s odhadnutou bránou nie. Zapíšte, ktorú ste zvolili, a zaznamenajte adresu partnera, ktorá musela prežiť.