Удаљена радна површина преко VPN-а: у ком сте квару?

Ваш тунел је активан, интерни вики се учитава, а удаљена радна површина и даље одбија везу. Та комбинација је нормална, јер VPN даје руту до хоста, док услуга радне површине мора да слуша, буде дозвољена сопственим firewall-ом и буде спремна да аутентификује налог. Између исправног тунела и употребљиве сесије стоје четири фазе квара и свака пада са другом поруком. Прво прочитајте поруку, јер она именује фазу.

Четири квара који изгледају као један

Фазе су поређане: име се разрешава у приватну адресу коју дизајн предвиђа, порт одговара на TCP руковање, хост прихвата везу и пријава у сесију успева. Свака фаза чини следећу непроверљивом, зато промена RDP подешавања пре него што се мрежа среди ствара само шум. Симптом са корисничке стране изгледа исто у сва четири случаја. Само порука клијента их раздваја.

Исправна интерна веб страница не доказује ниједан од четири. Доказује да је хост на истој мрежи одговорио на другом порту другом услугом. Узмите то као доказ о рутирању и ништа више.

Тестирајте по реду и запишите резултат. Скок на екран за пријаву зато што је порт одговорио је начин да поподне потрошите на firewall проблем који је први корак већ лоцирао.

Да ли нешто слуша на 3389?

Почните од имена, јер име које се разрешава у погрешну адресу поништава свако касније тестирање. Питајте разрешивач тунела шта име значи, затим упоредите одговор са приватном адресом коју дизајн предвиђа, а не са успешним одговором. Име које се разрешава у јавну адресу је цео проблем и никаква RDP промена га неће поправити:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Затим тестирајте порт, а не хост. Завршено TCP руковање на 3389 одваја доступност од свега изнад:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Изведите тај тест из LAN-а и из тунела, јер разлика између два резултата лоцира квар на VPN путу. На путу стоје два firewall-а и лако их је помешати: мрежа мора да дозволи адреси тунела клијента да стигне до хоста, а сопствени firewall хоста мора да дозволи исти извор на порту који слуша. Правило ограничено на LAN подмрежу не покрива пул VPN клијената и то је најчешћи узрок истека времена о коме извештавају само удаљени корисници. Проверите обухват, а не постојање правила.

Повратни пут заслужује исту проверу. Одговорима је потребна рута назад у пул клијената, а не у LAN, а превод пред хостом мења извор који ће приказати ваш лог. Ако порт одговара у једном смеру, а у другом не, половина која недостаје обично је повратни пут.

Прочитајте поруку пре конфигурације

Трећа фаза је хост који одбија везу по сопственој политици, што често изгледа као порт који се одмах отвори и затвори. Нешто је одговорило и то је корисна информација, а не тишина. Ако је руковање завршено и сесија је одмах умрла, мрежа је у реду и одлучује хост. Погледајте дозволе удаљене радне површине пре него што поново дотакнете мрежу.

Функција може бити омогућена за машину, док је приступ ограничен на одређене групе, а слушалац може бити повезан тако да искључује адресу са које сте дошли. Аутентификација на мрежном нивоу додаје капију која пада пре учитавања радне површине, а њен текст грешке се разликује од погрешне лозинке. Упоредите поруку клијента са дневником догађаја хоста, јер порука именује капију, а дневник налог.

Пријава у сесију је сопствена граница

Аутентификација припада услузи радне површине, не VPN-у. Идентитет тунела и налог радне површине су одвојени акредитиви са одвојеним политикама закључавања, зато исправан тунел доказује само да вас је тунел прихватио. Закључавање налога радне површине не омета тунел, а и обрнуто је тачно.

Сачувајте оба цела. Када приватна рута недостаје, поправите руту, јер објављивање слушаоца на интернету мења грешку доступности за изложену радну површину. Не ослабљујте ни провере идентитета сесије да бисте прошли поред упозорења о сертификату које се појавило истовремено. Самопотписани сертификат на RDP слушаоцу даје упозорење по дизајну, па је његово прихватање одлука, а не корак.

Избројте покушаје пре поновног покушаја. Прагови закључавања радне површине броје неуспешне пријаве одвојено од VPN кварова, а клијент који понавља по тајмеру може прећи праг док још уређујете правило. То је исти механизам паралелних поновљених покушаја који закључава налоге после промене лозинке.

Шта сесија може да пренесе и где то остаје

Научите одобрени ток одјаве пре него што вам затреба. Затварање прозора може само да искључи приказ док сесија наставља да ради по својој конфигурисаној политици, што је важно на дељеном или ревидираном хосту. Одјавите се изнутра сесије када политика то очекује.

Затим одлучите шта сесија сме да преноси, јер клипборд, преусмерени дискови, преусмеравање штампача и пренос датотека преносе податке између локалног и удаљеног система тамо где политика дозвољава. Објављена апликација која ради на другој страни није аутоматски граница без преузимања, а сесија која изгледа само за читање ипак може да пренесе клипборд. Тестирајте прави задатак, а не везу: отворите датотеку, користите апликацију и потврдите преусмеравање које вам треба. Упутство Microsoft-а за приступ удаљеној радној површини споља описује подржане опције излагања и бољи је извор од јавног слушаоца додатог под притиском.