A ndalon RDP pas instalimit të një klienti VPN? Fajtori është firewall-i

Disa minuta pasi një klient VPN konsumatori përfundon instalimin, portali vazhdon të thotë se VM-ja po punon, IP-ja publike nuk ka ndryshuar, dhe RDP nuk përgjigjet. Njerëzit zakonisht mendojnë se VM-ja u rrëzua ose se grupi i sigurisë së rrjetit ndryshoi, dhe të dyja zakonisht janë të gabuara. Ajo që ndryshoi është profili i firewall-it të Windows në të cilin ndodhet makina, dhe rregulli i RDP-së që përputhej më parë nuk përputhet më. Riparimi fillon duke marrë një shell përmes një rruge që nuk varet nga RDP.

VM-ja po punon; rregulli ndaloi së përputhuri

Rregullat e firewall-it në Windows mbajnë një grup profilesh, dhe një rregull i kufizuar në Privat ose Domen nuk ka asnjë efekt ndërsa makina është në profilin Publik. Instaluesit e VPN-së shtojnë përshtatës dhe rrugë, dhe shumë prej tyre forcojnë Publikun si efekt anësor. Dëgjuesi mbetet i lidhur me 3389 dhe paketat ende mbërrijnë, por mospërputhja e profilit i hedh ato.

Gjendja e energjisë dhe arritshmëria janë fakte të ndryshme, dhe një VM që punon me port të mbyllur duket nga jashtë saktësisht si një e rrëzuar.

Provoni portin para se të ndryshoni çfarëdo. Një përpjekje për t'u lidhur me 3389 që skadon ndërsa një komandë e agjentit të mysafirit ende kthen dalje tregon firewall-in e hostit. Një port që përgjigjet ndërsa RDP vazhdon të dështojë do të thotë që defekti ndodhet mbi shtresën e rrjetit, dhe ky riparim nuk do ta prekë atë. Shënoni cilën nga dy rastet patët, sepse pjesa tjetër e planit varet nga kjo.

Dy porta mbyllen në mënyrë të pavarur

Politika e platformës ecën e para: grupi i sigurisë së rrjetit e sheh paketën para mysafirit. Ky rend e bën një hyrje të përsosur NSG të padobishme kur hosti e hedh paketën, dhe një rregull të hapur të hostit të padobishëm kur platforma e refuzon. Trajtojini si porta të ndara dhe provoni secilën veç.

Lexoni rregullat efektive të NSG-së në portal ose në CLI, pastaj krahasoni ato me rregullat e vetë mysafirit. Mos supozoni se ndryshimi i fundit që mbani mend është ai që hyri në fuqi.

Një klient konsumatori mund të instalojë gjithashtu një drejtues filtri ose një kill switch që bllokon trafikun nën firewall-in e Windows. Nëse rregullat e firewall-it duken të sakta dhe porta vazhdon të dështojë, ajo shtresë është i dyshuari i radhës.

Përdorni agjentin e mysafirit si rrugë kthimi

Dy funksione ekzekutimi në distancë, Run Command dhe Custom Script Extension, punojnë brenda mysafirit përmes agjentit të platformës. Asnjëra nuk ka nevojë për RDP, prandaj gabimi i firewall-it nuk ndikon tek ato. Të dyja kthejnë daljen e skriptit, gjë që i bën kanal diagnostikimi dhe njëkohësisht riparimi.

Lexoni profilin aktiv dhe rregullin e RDP-së para se të ndryshoni ndonjërën prej tyre:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Riaktivizimi i rregullave hyrëse në atë profil është masë e përkohshme, jo destinacion. Përdoreni për të marrë një sesion, pastaj mbyllni boshllëkun si duhet:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Ai çelës hap çdo rregull hyrës të profilit, jo vetëm RDP. Pasi të keni një sesion, zëvendësojeni me një rregull të kufizuar dhe riktheni cilësimet që dëshironi vërtet. Nëse edhe agjenti nuk është i disponueshëm, alternativa është një konsolë serike ose një disk i rindërtuar, dhe ky është arsyeja praktike për ta mbajtur agjentin të shëndetshëm.

Ngushtoni boshllëkun para se të mbyllni sesionin

Ndryshimi i përkohshëm i profilit është një derë e mbajtur hapur për çdo rregull hyrës të atij profili. Zëvendësojeni me një rregull të kufizuar në adresën tuaj burimore dhe portin RDP, pastaj konfirmoni që profili është kthyer në gjendjen e synuar. Bëjeni këtë ndërsa sesioni është ende në dorë, sepse gabimi tjetër mund të mos jetë i kthyeshëm në distancë. Mbani gati një rrugë të dytë administrative si Bastion ose një konsolë serike gjatë ndryshimit.

Konfirmoni rezultatin nga stacioni juaj i punës me një test porti, dhe nga brenda mysafirit me listën e rregullave:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Aktivizoni regjistrimin e firewall-it për kohëzgjatjen e testit. Një rresht i vetëm për një paketë të hedhur që përmend 3389 dhe profilin aktiv i përgjigjet pyetjes më shpejt se një rindezje tjetër.

Parandaloni instaluesin e radhës ta bëjë përsëri

Nëse ai host nuk ka arsye ta ekzekutojë klientin, çinstalojeni. Një klient i instaluar është një ftesë e përhershme që përditësimi i radhës ta rishkruajë profilin përsëri, dhe personi tjetër do të korrigjojë të njëjtin ndërprerje nga portali.

Merrni një fotografi të diskut para se të lejoni diçka të rishkruajë cilësimet e rrjetit, dhe mbani gati një rrugë të dytë administrative para se t'ju duhet.

Shënoni çfarë ndryshoi instaluesi: përshtatës, rrugë, profile firewall-i, drejtues filtri dhe shërbime. Ai regjistër e kthen incidentin e radhës në një model të njohur në vend të një hetimi të re. Kur VM-së i duhet një tunel drejt saktësisht një shërbimi, vendosni klientin në stacionin tuaj të punës ose ndërtoni një lidhje mes faqeve në vend që të instaloni në server një produkt për laptopë. Klientët e konsumatorit synojnë laptopët, dhe një server që e administroni në distancë nuk është i tillë.