RDP se ustavi po namestitvi odjemalca VPN? Kriv je požarni zid

Nekaj minut po končani namestitvi potrošniškega odjemalca VPN portal še vedno pravi, da VM teče, javni IP se ni spremenil, RDP pa se ne odziva. Ljudje običajno domnevajo, da je VM strmoglavil ali da se je spremenila varnostna skupina omrežja, in oboje je običajno napačno. Spremenil se je profil požarnega zidu Windows, v katerem je stroj, in pravilo RDP, ki se je prej ujemalo, se ne ujema več. Popravilo se začne s pridobitvijo lupine po poti, ki ni odvisna od RDP.

VM teče; pravilo se ne ujema več

Pravila požarnega zidu v Windows nosijo nabor profilov, in pravilo, omejeno na Zasebno ali Domena, ne deluje, dokler je stroj v javnem profilu. Nameščevalci VPN dodajajo vmesnike in poti, in mnogi med njimi kot stranski učinek zaostrijo javni profil. Poslušalec ostane vezan na 3389 in paketi še vedno prihajajo, a neujemanje profila jih zavrže.

Stanje napajanja in dosegljivost sta ločeni dejstvi, in delujoč VM z zaprtimi vrati je od zunaj videti natanko kot strmoglavljen.

Preizkusite vrata, preden karkoli spremenite. Poskus povezave na 3389, ki poteče, medtem ko ukaz gostujočega agenta še vrača izhod, kaže na požarni zid gostitelja. Vrata, ki se odzivajo, RDP pa še vedno ne uspe, pomenijo, da je napaka nad omrežno plastjo, in to popravilo se je ne bo dotaknilo. Zapišite, katerega od obeh primerov ste videli, ker je od tega odvisen preostanek načrta.

Dve vrati se zapreta neodvisno

Najprej deluje politika platforme: varnostna skupina omrežja vidi paket prej kot gost. Ta vrstni red naredi popoln vnos NSG neuporaben, ko gostitelj paket zavrže, in odprto pravilo gostitelja neuporabno, ko ga platforma zavrne. Obravnavajte jih kot ločena vrata in vsaka preizkusite posebej.

Preberite veljavna pravila NSG na portalu ali v CLI in jih nato primerjajte z lastnimi pravili gosta. Ne domnevajte, da je zadnja sprememba, ki se je spomnite, tista, ki je začela veljati.

Potrošniški odjemalec lahko namesti tudi gonilnik filtra ali kill switch, ki blokira promet pod požarnim zidom Windows. Če so pravila požarnega zidu videti pravilna in vrata še vedno ne uspejo, je ta plast naslednji sumljivec.

Uporabite gostujočega agenta kot pot nazaj

Dve funkciji oddaljenega izvajanja, Run Command in Custom Script Extension, delujeta znotraj gosta prek agenta platforme. Nobena ne potrebuje RDP, zato napaka požarnega zidu nanju ne vpliva. Obe vrneta izhod skripta, kar ju naredi kanal za diagnostiko in hkrati za popravilo.

Preberite aktivni profil in pravilo RDP, preden spremenite katero od njiju:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Ponovno omogočanje dohodnih pravil v tem profilu je začasen ukrep, ne cilj. Uporabite ga za pridobitev seje in nato vrzel pravilno zaprite:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

To stikalo odpre vsako dohodno pravilo v profilu, ne le RDP. Ko imate sejo, ga nadomestite z omejenim pravilom in obnovite nastavitve, ki jih zares želite. Če tudi agent ni na voljo, je rezervna možnost serijska konzola ali obnovljen disk, in to je praktični razlog za ohranjanje zdravega agenta.

Zožite vrzel, preden zaprete sejo

Začasna sprememba profila so vrata, ki se držijo odprta za vsako dohodno pravilo tega profila. Nadomestite jih s pravilom, omejenim na vaš naslov vira in vrata RDP, nato potrdite, da se je profil vrnil v predvideno stanje. To storite, dokler še imate sejo, ker naslednja napaka morda ne bo povratna na daljavo. Med spremembo imejte pripravljeno drugo administrativno pot, na primer Bastion ali serijsko konzolo.

Potrdite rezultat z delovne postaje s preizkusom vrat in od znotraj gosta s seznamom pravil:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Za čas preizkusa vklopite beleženje požarnega zidu. Ena vrstica o zavrženem paketu, ki navede 3389 in aktivni profil, odgovori na vprašanje hitreje kot še en ponovni zagon.

Preprečite, da bi naslednji nameščevalec to ponovil

Če ta gostitelj nima razloga za izvajanje odjemalca, ga odstranite. Nameščen odjemalec je stalno povabilo, da naslednja posodobitev znova prepiše profil, in naslednja oseba bo razhroščevala isto prekinitev s portala.

Naredite posnetek diska, preden dovolite, da karkoli prepiše omrežne nastavitve, in imejte drugo administrativno pot pripravljeno, preden jo potrebujete.

Zapišite, kaj je nameščevalec spremenil: vmesnike, poti, profile požarnega zidu, gonilnike filtra in storitve. Ta zapis spremeni naslednji dogodek v znan vzorec namesto nove preiskave. Ko VM potrebuje tunel natanko do ene storitve, postavite odjemalca na svojo delovno postajo ali zgradite povezavo med lokacijama, namesto da bi na strežnik namestili izdelek za prenosnike. Potrošniški odjemalci so namenjeni prenosnikom, strežnik, ki ga upravljate na daljavo, pa ni.