Cisco Secure Client blokira VPN iz seje RDP

Prijava uspe in tunel se kljub temu ne dvigne. Ta kombinacija zmede ljudi, ker jo berejo kot težavo s preverjanjem pristnosti, nato pa popoldne porabijo za ponastavljanje poverilnic, ki nikoli niso bile vzrok. Cisco Secure Client lahko zavrne vzpostavitev VPN prav zato, ker je poskus prišel iz seje Remote Desktop, in to odločitev sprejme politika na strani odjemalca.

Kje se to pojavi v poteku povezave

Pojdite skozi odjemalca od zgoraj. Profil se naloži, poverilnice se zberejo in preverjanje pristnosti se zaključi. Nato, preden je zgrajen kateri koli tunel, odjemalec oceni nastavitve seje in vzpostavitve glede na okolje, v katerem se nahaja.

V tistem trenutku zapišite tri stvari: natančno sporočilo, različico odjemalca in ime profila, prikazano v odjemalcu. Te tri spremenijo nejasno pritožbo v zahtevo za podporo, s katero se da kaj storiti. Naredite posnetek zaslona pogovornega okna, ker se dolga sporočila v dnevniku skrajšajo. Zabeležite tudi čas, da ga lahko skrbnik primerja z glavnim strežnikom.

Nastavitev, ki dejansko odloča

Politika Windows VPN Establishment je ustrezna kontrola in ima dve dokumentirani vrednosti: samo lokalni uporabniki in dovoli oddaljene uporabnike. Druga dovoljuje vzpostavitev tunela iz seje Remote Desktop v podprti konfiguraciji. Prva je privzeto stališče v številnih poslovnih profilih.

Ne zamenjujte je z Windows Logon Enforcement, ki jo vodnik po profilu dokumentira kot ločeno politiko o prijavnih sejah. Ena ureja, katera seja lahko zgradi tunel, druga ureja sočasno vedenje ali vedenje pred prijavo. Spreminjanje napačne nima vidnega učinka.

Preberite profil, ki se dejansko uporablja

Pri upravljanem uvajanju odjemalec prejme profil z glavnega strežnika ali z upravljanega mesta, kopija, urejena na disku, pa pogosto ni tista, ki velja. Zato je lahko lokalna sprememba XML videti pravilna in ne spremeni ničesar.

Skrbnika vprašajte, kateri profil in katero skupinsko politiko prejme naprava, ne katera datoteka je na prenosniku. Po nadgradnji različice se ta dva pogosto razhajata. Zastarela kopija v lokalni mapi se še vedno odpre v urejevalniku in je še vedno videti pravilna. Preprosto ni tisto, kar je odjemalec uporabil.

Pot RDP po dvigu tunela

Dovolitev oddaljene vzpostavitve ne zagotavlja, da bo vaša seja Remote Desktop preživela. Ko tunel spremeni poti ali lokalna pravila dostopa, lahko seja, ki vas je pripeljala noter, izgubi pot, ki jo vzdržuje.

Načrtujte obnovitveni kanal pred spremembo: dostop do konzole, zunajpasovno pot upravljanja ali dokumentiran postopek ponovnega povezovanja. Odločanje o tem naknadno običajno pomeni pot do stroja.

Ne uporabljajte trikov za krajo sej, alternativnih orodij za oddaljeno upravljanje ali gesla, zapisanega v skriptu, da bi obšli politiko. Če organizacija tega delovnega toka ne odobri, je pravilna poteza administrativna pot, ki jo podpira.

Kaj poslati skrbniku

Dajte mu besedilo sporočila, različico odjemalca, ime aktivnega profila, vrsto seje, prek katere ste se povezali, in ali se poskus z lokalne konzole vede drugače. Dodajte časovni žig.

Prav zadnja primerjava prihrani čas, ker loči zavrnitev zaradi politike seje od okvare celotne naprave.

Preverite po odobreni spremembi

Ko je profil posodobljen, vzpostavite novo sejo RDP in se znova povežite, nato namerno izvedite zaporedje prekinitve. Potrdite, da se tunel dvigne, da pot upravljanja preživi in da se vaš račun še vedno lahko prijavi v namizje.

Dovolitev v VPN, preživetje seje in dovoljenje za prijavo v Windows so tri ločena preverjanja. Prehod enega ne pove ničesar o drugih dveh.