RDP се зауставља после инсталације VPN клијента? Крив је заштитни зид

Неколико минута након што потрошачки VPN клијент заврши инсталацију, портал још тврди да VM ради, јавна IP адреса није промењена, а RDP не одговара. Људи обично претпостављају да је VM пао или да се променила мрежна безбедносна група, и обоје је обично погрешно. Променио се профил заштитног зида Windows-а у ком се налази машина, а RDP правило које се раније поклапало више се не поклапа. Поправка почиње добијањем љуске путем који не зависи од RDP-а.

VM ради; правило је престало да се поклапа

Правила заштитног зида у Windows-у носе скуп профила, а правило ограничено на Приватни или Домен нема ефекта док је машина на јавном профилу. Инсталатери VPN-а додају адаптере и руте, и многи од њих појачавају јавни профил као нуспојаву. Слушалац остаје везан за 3389 и пакети још пристижу, али неусклађеност профила их одбацује.

Стање напајања и доступност су одвојене чињенице, а VM који ради са затвореним портом споља изгледа тачно као онај који је пао.

Проверите порт пре него што било шта промените. Покушај повезивања на 3389 који истекне, док наредба гостујућег агента још враћа излаз, упућује на заштитни зид хоста. Порт који одговара, а RDP и даље не успева, значи да је квар изнад мрежног слоја и ова поправка га неће дотаћи. Забележите који сте од два случаја видели, јер остатак плана зависи од тога.

Двоја врата се затварају независно

Прво ради политика платформе: мрежна безбедносна група види пакет пре госта. Тај редослед чини савршен NSG унос бескорисним када хост одбаци пакет, а отворено правило хоста бескорисним када га платформа одбије. Третирајте их као одвојена врата и тестирајте свака засебно.

Прочитајте важећа правила NSG-а на порталу или у CLI-ју, па их упоредите са сопственим правилима госта. Не претпостављајте да је последња промена које се сећате она која је ступила на снагу.

Потрошачки клијент може да инсталира и драјвер за филтрирање или kill switch који блокира саобраћај испод заштитног зида Windows-а. Ако правила изгледају исправно, а порт и даље не успева, тај слој је следећи осумњичени.

Користите гостујућег агента као пут назад

Две функције даљинског извршавања, Run Command и Custom Script Extension, раде унутар госта преко агента платформе. Ниједној не треба RDP, па грешка заштитног зида не утиче на њих. Обе враћају излаз скрипте, што их чини каналом за дијагностику и истовремено за поправку.

Прочитајте активни профил и RDP правило пре него што промените било које од њих:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Поновно омогућавање улазних правила на том профилу је привремена мера, а не циљ. Искористите је да добијете сесију, а затим правилно затворите празнину:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Тај прекидач отвара свако улазно правило профила, не само RDP. Када имате сесију, замените га ограниченим правилом и вратите подешавања која заиста желите. Ако ни агент није доступан, резервна опција је серијска конзола или поново изграђен диск, и то је практичан разлог да агент остане здрав.

Сузите празнину пре него што затворите сесију

Привремена промена профила су врата држана отворена за свако улазно правило тог профила. Замените их правилом ограниченим на вашу изворну адресу и порт RDP, а затим потврдите да се профил вратио у предвиђено стање. Учините то док још имате сесију, јер следећа грешка можда неће бити повратна на даљину. Држите други административни пут, попут Bastion-а или серијске конзоле, спремним током промене.

Потврдите резултат са своје радне станице тестом порта, а из унутрашњости госта листом правила:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Укључите евидентирање заштитног зида за време теста. Један ред о одбаченом пакету који наводи 3389 и активни профил одговара на питање брже од још једног поновног покретања.

Спречите следећег инсталатера да то понови

Ако тај хост нема разлога да покреће клијент, деинсталирајте га. Инсталирани клијент је сталан позив следећем ажурирању да поново препише профил, а следећа особа ће отклањати исти прекид са портала.

Направите снимак диска пре него што дозволите да било шта препише мрежна подешавања, и држите други административни пут спремним пре него што вам затреба.

Забележите шта је инсталатер променио: адаптере, руте, профиле заштитног зида, драјвере за филтрирање и услуге. Тај запис претвара следећи инцидент у познат образац уместо нове истраге. Када је VM-у потребан тунел тачно до једне услуге, ставите клијент на своју радну станицу или изградите везу између локација уместо да на сервер инсталирате производ за преносне рачунаре. Потрошачки клијенти су намењени преносним рачунарима, а сервер који администрирате на даљину то није.