Zakaj se RDP zamrzne, ko se oddaljeni računalnik poveže z VPN

Ste v oknu RDP, namizje je na zaslonu, in v odjemalcu VPN, ki teče na tem oddaljenem računalniku, pritisnete Connect. Nekaj sekund kasneje se okno zamrzne in nato zapre. Tunel se je dvignil, točno to bo zabeležil dnevnik VPN, in to je najmanj uporabno dejstvo v celotnem incidentu. Seja je umrla, ker je računalnik, s katerim ste govorili, spremenil način, kako vam odgovarja, zato preglejte povratno pot, preden se dotaknete tunela.

Zabeležite končno točko, ki jo vaša seja dejansko uporablja

Naslov, vpisan v odjemalec RDP, ni nujno naslov, na katerega odgovarja oddaljeni računalnik. NAT, RD Gateway ali razporejevalnik obremenitve pred gostiteljem ga lahko prepišejo, povratno pot pa določa izvorni naslov, ki ga oddaljeni računalnik vidi na vzpostavljeni povezavi. Če se tu zmotite, boste iskali pot, ki ni bila nikoli vpletena.

Na oddaljenem računalniku, preden je VPN povezan, naštejte vzpostavljene seje in preberite naslov partnerja iz tabele. Nato ga zapišite nekam zunaj tega računalnika, ker ga po padcu seje ne boste mogli več prebrati.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Ta naslov obravnavajte kot tisto, kar mora ostati dosegljivo. Če je to zasebni naslov v upravljalnem VLAN, mora tunel to pot pustiti pri miru. Če je javni naslov, mora odgovor oditi skozi isti vmesnik, ki je prinesel zahtevo noter.

Preberite pot, ki odgovarja tej končni točki

Windows izbere vmesnik za vsak cilj, in Find-NetRoute pokaže odločitev, ki bi jo sprejel zdaj. Zaženite ga na naslov partnerja pred povezavo, nato znova z dvignjenim tunelom, in primerjajte indeks vmesnika in naslednji skok v obeh odgovorih. Sprememba vmesnika je celotna napaka v eni vrstici izhoda.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Profil polnega tunela namesti privzeto pot skozi tunel, kot opisuje vodnik Windows za usmerjanje VPN, zato vsak odgovor zdaj odide skozi VPN in je odvisen od tega, ali nasprotna stran usmerja nazaj do vašega odjemalca. Profil razdeljenega tunela je privzeto varnejši, a ni imun, ker lahko določena pot, ki pokriva naslov partnerja, še vedno premaga fizično privzeto pot. Kakor koli, vprašanje je enako: ko se tunel dvigne, ali se naslov partnerja še vedno razrešuje v vmesnik, ki je prinesel sejo noter?

Če ne, popravek spada v profil ali v izrecno izjemno pot, ki jo odobri lastnik pravilnika VPN. Ročno urejanje usmerjevalne tabele na produkcijskem gostitelju med incidentom je način, kako začasna rešitev postane nedokumentirana konfiguracija.

Opazujte spremembo profila požarnega zidu

Nov vmesnik se razvrsti, ko se pojavi, in razvrstitev določi, po katerem profilu požarnega zidu se ocenjuje njegov promet. Vmesnik tunela, ki pristane v kategoriji Public, lahko tiho ustavi dohodni RDP, čeprav je usmerjevalna tabela videti brezhibna. To je drugi način odpovedi in daje drugačen simptom: pot je prava, paketi prihajajo, gostitelj pa povezavo zavrne.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Primerjajte profil, vezan na vmesnik tunela, s profili, na katere so omejena pravila Remote Desktop. Pravilo, omogočeno samo za Domain in Private, ne naredi ničesar za vmesnik, razvrščen kot Public, in noben popravek poti tega ne spremeni. Nekateri odjemalci VPN po zasnovi omejujejo tudi dostop do lokalnega podomrežja, kar ustvari enako obliko odpovedi iz drugega mehanizma.

Preizkusite prehod z mesta, s katerega se lahko vrnete

Izvajte celotno zaporedje s konzole zunaj pasu ali druge poti upravljanja, v tem vrstnem redu: potrdite obstoječo sejo, povežite VPN, odprite novo sejo, nato prekinite VPN in odprite še eno. Vsak korak preizkusi drugačen prehod, in prvi, ki ne uspe, vam pove, kateri mehanizem je odgovoren.

Načrtujte vrnitev, preden začnete, na primer načrtovano opravilo, ki izvaja rasdial "Work VPN" /disconnect po določenem intervalu. To spremeni izgubljeno sejo v petminutno prekinitev namesto obiska na lokaciji, in to je najcenejše zavarovanje v celotnem postopku.

Vrnite se noter, ko je seja že izginila

Če gostitelj že ni dosegljiv, prenehajte poskušati z novimi povezavami RDP iz istega odjemalca in uporabite kanal za obnovitev, ki ga okolje že ima: RD Gateway, konzolo hipervizorja ali vmesnik za upravljanje zunaj pasu. Prosite osebo z dostopom do konzole, da zažene iste ukaze Find-NetRoute in Get-NetConnectionProfile, da dokazi preživijo obnovitev.

Nato odločite o trajni ureditvi in ne o najhitrejši. Ali je upravljalna pot izrecno ohranjena s profilom VPN, ali pa se upravljanje premakne na kanal, ki ni odvisen od privzete poti gostitelja. Oboje je zagovorljivo; pot gostitelja z ugibanim prehodom ni. Zapišite, katero ste izbrali, in zabeležite naslov partnerja, ki je moral preživeti.