RDP inasimama baada ya kusanidi mteja wa VPN? Firewall ndiyo mkosaji

Dakika chache baada ya mteja wa VPN wa mtumiaji kumaliza usanidi, lango la mtandao bado linasema VM inafanya kazi, IP ya umma haijabadilika, na RDP haijibu. Watu kwa kawaida hudhani VM imeanguka au kikundi cha usalama cha mtandao kimebadilika, na vyote viwili kwa kawaida si sahihi. Kilichobadilika ni profaili ya firewall ya Windows ambayo mashine iko ndani yake, na sheria ya RDP iliyokuwa ikilingana hailingani tena. Ukarabati unaanza kwa kupata shell kupitia njia isiyotegemea RDP.

VM inafanya kazi; sheria imeacha kilingana

Sheria za firewall katika Windows hubeba seti ya profaili, na sheria iliyopunguzwa kwa Binafsi au Kikoa haina athari yoyote wakati mashine iko kwenye profaili ya Umma. Visanidi vya VPN huongeza adapta na njia, na nyingi zao huimarisha Umma kama athari ya pembeni. Msikilizaji hubaki amefungwa kwa 3389 na pakiti bado zinafika, lakini kutokulingana kwa profaili huzitupa.

Hali ya nishati na ufikivu ni ukweli tofauti, na VM inayofanya kazi yenye lango lililofungwa huonekana kutoka nje kama iliyoanguka.

Jaribu lango kabla ya kubadilisha chochote. Jaribio la kuunganisha kwa 3389 linaloisha kwa muda wakati amri ya wakala wa mgeni bado inarudisha pato linaonyesha firewall ya mwenyeji. Lango linalojibu wakati RDP bado inashindikana linamaanisha hitilafu iko juu ya tabaka la mtandao, na ukarabati huu hautagusa hilo. Andika ni hali ipi kati ya mbili uliyoona, kwa sababu mpango uliobaki unategemea hiyo.

Malango mawili hufungwa kwa uhuru

Kwanza sera ya jukwaa hufanya kazi: kikundi cha usalama cha mtandao huona pakiti kabla ya mgeni. Mpangilio huo hufanya ingizo kamili la NSG lisifae wakati mwenyeji anatupa pakiti, na sheria wazi ya mwenyeji isifae wakati jukwaa linaikataa. Zichukulie kama malango tofauti na ujaribu kila moja peke yake.

Soma sheria zinazotumika za NSG kwenye lango au CLI, kisha uzilinganishe na sheria za mgeni mwenyewe. Usidhani kwamba badiliko la mwisho unalokumbuka ndilo lililoanza kutumika.

Mteja wa mtumiaji anaweza pia kusanidi dereva wa kichujio au swichi ya kuzima inayozuia trafiki chini ya firewall ya Windows. Ikiwa sheria za firewall zinaonekana sahihi na lango bado linashindikana, tabaka hilo ndilo shaka inayofuata.

Tumia wakala wa mgeni kama njia ya kurudi

Vipengele viwili vya utekelezaji wa mbali, Run Command na Custom Script Extension, hufanya kazi ndani ya mgeni kupitia wakala wa jukwaa. Hakuna kinachohitaji RDP, kwa hiyo hitilafu ya firewall haiathiri. Vyote viwili hurudisha pato la script, jambo linalovifanya kuwa njia ya uchunguzi na wakati huo huo njia ya ukarabati.

Soma profaili inayotumika na sheria ya RDP kabla ya kubadilisha yoyote kati yao:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Kuwasha tena sheria za kuingia kwenye profaili hiyo ni hatua ya muda, si lengo. Itumie kupata kipindi, kisha funga pengo ipasavyo:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Swichi hiyo hufungua kila sheria ya kuingia kwenye profaili, si RDP pekee. Ukipata kipindi, ibadilishe kwa sheria iliyopunguzwa na urejeshe mipangilio unayotaka kweli. Ikiwa wakala pia haupatikani, mbadala ni konsoli ya mfululizo au diski iliyojengwa upya, na hiyo ndiyo sababu ya kivitendo ya kuweka wakala mzima.

Punguza pengo kabla ya kufunga kipindi

Badiliko la muda la profaili ni mlango unaoachwa wazi kwa kila sheria ya kuingia ya profaili hiyo. Ibadilishe kwa sheria iliyopunguzwa kwa anwani yako ya chanzo na lango la RDP, kisha thibitisha kwamba profaili imerejea katika hali iliyokusudiwa. Fanya hivi ukiwa bado na kipindi, kwa sababu kosa linalofuata linaweza lisiweze kutenduliwa kwa mbali. Weka njia ya pili ya utawala kama Bastion au konsoli ya mfululizo tayari wakati wa badiliko.

Thibitisha matokeo kutoka kituo chako cha kazi kwa jaribio la lango, na kutoka ndani ya mgeni kwa orodha ya sheria:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Washa urekodi wa firewall kwa muda wote wa jaribio. Mstari mmoja kuhusu pakiti iliyotupwa unaotaja 3389 na profaili inayotumika hujibu swali haraka kuliko kuwasha upya tena.

Zuia kisanidi kinachofuata kufanya hivyo tena

Ikiwa mwenyeji huyo hana sababu ya kuendesha mteja, ondosha usanidi wake. Mteja aliyesanidiwa ni mwaliko wa kudumu kwa sasisho linalofuata kuandika profaili tena, na mtu anayefuata atatatua usumbufu huo huo kutoka langoni.

Piga picha ya diski kabla ya kuruhusu kitu chochote kuandika upya mipangilio ya mtandao, na weka njia ya pili ya utawala tayari kabla ya kuihitaji.

Andika kile kisanidi kilichobadilisha: adapta, njia, profaili za firewall, dereva za kichujio na huduma. Rekodi hiyo hubadilisha tukio linalofuata kuwa mfano unaojulikana badala ya uchunguzi mpya. VM inapohitaji handaki hadi huduma moja hasa, weka mteja kwenye kituo chako cha kazi au jenga kiungo kati ya maeneo badala ya kusanidi bidhaa ya kompyuta ya mkononi kwenye seva. Wateja wa mtumiaji wanalenga kompyuta za mkononi, na seva unayoiongoza kwa mbali si hiyo.