Oddaljeni namizje prek VPN: v kateri napaki ste?

Vaš tunel je aktiven, notranji wiki se nalaga, oddaljeno namizje pa še vedno zavrača povezavo. Ta kombinacija je običajna, ker VPN zagotavlja pot do gostitelja, medtem ko mora storitev namizja poslušati, biti dovoljena s strani lastnega požarnega zidu in biti pripravljena overiti račun. Med delujočim tunelom in uporabno sejo so štiri faze napake in vsaka spodleti z drugačnim sporočilom. Najprej preberite sporočilo, ker poimenuje fazo.

Štiri napake, ki izgledajo kot ena

Faze so urejene: ime se razreši v zasebni naslov, ki ga predvideva zasnova, vrata odgovorijo na rokovanje TCP, gostitelj sprejme povezavo po svoji politiki in prijava v sejo uspe. Vsaka faza naredi naslednjo nepreverljivo, zato spreminjanje nastavitev RDP, preden je omrežje urejeno, ustvari le šum. Simptom je z uporabnikove strani v vseh štirih primerih videti enako. Loči jih le sporočilo odjemalca.

Delujoče notranje spletišče ne dokazuje nobene od štirih. Dokazuje, da je gostitelj v istem omrežju odgovoril na drugih vratih z drugo storitvijo. To obravnavajte kot dokaz o usmerjanju in nič več.

Preizkusite po vrsti in zapišite rezultat. Skočiti na prijavni zaslon, ker so vrata odgovorila, je način, kako popoldne porabiti za težavo s požarnim zidom, ki jo je prvi korak že našel.

Ali kaj posluša na 3389?

Začnite z imenom, ker ime, ki se razreši v napačen naslov, razveljavi vsak naslednji preizkus. Vprašajte razreševalnik tunela, kaj ime pomeni, nato odgovor primerjajte z zasebnim naslovom, ki ga predvideva zasnova, ne z uspešnim odgovorom. Ime, ki se razreši v javni naslov, je vsa težava in nobena sprememba RDP je ne bo odpravila:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Nato preizkusite vrata, ne gostitelja. Dokončano rokovanje TCP na 3389 loči dosegljivost od vsega nad njo:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Ta preizkus izvedite iz omrežja LAN in iz tunela, ker razlika med obema rezultatoma lokalizira napako na poti VPN. Na poti sta dva požarna zidova in ju je lahko zamenjati: omrežje mora dovoliti naslovu tunela odjemalca, da doseže gostitelja, lastni požarni zid gostitelja pa mora dovoliti isti vir na poslušajočih vratih. Pravilo, omejeno na podomrežje LAN, ne pokriva nabora odjemalcev VPN in to je najpogostejši vzrok časovne omejitve, o kateri poročajo le oddaljeni uporabniki. Preverite obseg, ne obstoja pravila.

Povratna pot si zasluži enak pregled. Odgovori potrebujejo pot nazaj v nabor odjemalcev, ne v LAN, in pretvorba pred gostiteljem spremeni vir, ki ga bo pokazal vaš dnevnik. Če vrata odgovorijo v eno smer in ne v drugo, je manjkajoča polovica običajno povratna pot.

Preberite sporočilo, preden preberete konfiguracijo

Tretja faza je gostitelj, ki povezavo zavrne po svoji politiki, kar je pogosto videti kot vrata, ki se takoj odprejo in zaprejo. Nekaj je odgovorilo in to je koristna informacija namesto tišine. Če se je rokovanje dokončalo in seja takoj umrla, je omrežje v redu in odloča gostitelj. Poglejte dovoljenja za oddaljeno namizje, preden se znova dotaknete omrežja.

Funkcija je lahko omogočena za stroj, medtem ko je dostop omejen na določene skupine, poslušalec pa je lahko vezan tako, da izključuje naslov, s katerega ste prišli. Overjanje na ravni omrežja doda vrata, ki spodletijo pred nalaganjem namizja, in njegovo besedilo napake se razlikuje od napačnega gesla. Primerjajte sporočilo odjemalca z dnevnikom dogodkov gostitelja, ker sporočilo poimenuje vrata, dnevnik pa račun.

Prijava v sejo je lastna meja

Overjanje pripada storitvi namizja, ne VPN. Identiteta tunela in račun namizja sta ločeni poverilnici z ločenimi politikami zaklepanja, zato delujoč tunel dokazuje le, da vas je tunel sprejel. Zaklepanje računa namizja ne moti tunela in obratno prav tako velja.

Ohranite oba nepoškodovana. Ko zasebne poti ni, popravite pot, ker objava poslušalca na internetu zamenja napako dosegljivosti za izpostavljeno namizje. Ne oslabite tudi preverjanj identitete seje, da bi se izognili opozorilu o potrdilu, ki se je pojavilo hkrati. Samopodpisano potrdilo na poslušalcu RDP po zasnovi ustvari opozorilo, zato je njegova sprejetje odločitev in ne korak.

Preštejte poskuse, preden poskusite znova. Pragovi zaklepanja namizja štejejo neuspešne prijave ločeno od napak VPN in odjemalec, ki poskuša znova s časovnikom, lahko preseže prag, medtem ko še urejate pravilo. To je isti mehanizem vzporednih poskusov, ki zaklene račune po spremembi gesla.

Kaj lahko seja premakne in kje to ostane

Naučite se odobrenega poteka odjave, preden ga boste potrebovali. Zaprtje okna lahko le prekine pogled, medtem ko seja še naprej teče po svoji konfigurirani politiki, kar je pomembno na deljenem ali revidiranem gostitelju. Odjavite se znotraj seje, ko politika to pričakuje.

Nato se odločite, kaj sme seja prenašati, ker odložišče, preusmerjeni diski, preusmerjanje tiskalnika in prenos datotek premikajo podatke med lokalnim in oddaljenim sistemom tam, kjer politika to dovoljuje. Objavljena aplikacija, ki teče na drugi strani, ni samodejno meja brez prenosa, seja, ki je videti le za branje, pa lahko še vedno prenaša odložišče. Preizkusite resnično nalogo in ne povezave: odprite datoteko, uporabite aplikacijo in potrdite preusmeritev, ki jo potrebujete. Microsoftova navodila za dostop do oddaljenega namizja od zunaj opisujejo podprte možnosti izpostavitve in so boljši vir kot javni poslušalec, dodan pod pritiskom.