Cisco Secure Client บล็อก VPN จากเซสชัน RDP

การลงชื่อเข้าใช้สำเร็จแต่อุโมงค์ก็ยังไม่ขึ้น การผสมผสานนี้น่าฉงนเพราะถูกอ่านว่าเป็นปัญหาการพิสูจน์ตัวตน แล้วก็เสียเวลาช่วงบ่ายไปกับการรีเซ็ตข้อมูลรับรองที่ไม่เคยเป็นต้นเหตุ Cisco Secure Client อาจปฏิเสธการสร้าง VPN เพราะความพยายามมาจากเซสชัน Remote Desktop และการตัดสินใจนั้นทำโดยนโยบายฝั่งไคลเอนต์

สิ่งนี้ปรากฏที่ใดในลำดับการเชื่อมต่อ

ไล่ไคลเอนต์จากด้านบน โปรไฟล์ถูกโหลด ข้อมูลรับรองถูกเก็บรวบรวม และการพิสูจน์ตัวตนเสร็จสิ้น จากนั้น ก่อนที่อุโมงค์ใดจะถูกสร้าง ไคลเอนต์จะประเมินการตั้งค่าเซสชันและการสร้างเทียบกับสภาพแวดล้อมที่มันอยู่

จดสามสิ่ง ณ ขณะนั้น คือ ข้อความที่แน่นอน เวอร์ชันไคลเอนต์ และชื่อโปรไฟล์ที่แสดงในไคลเอนต์ สามสิ่งนี้เปลี่ยนข้อร้องเรียนที่คลุมเครือให้เป็นคำขอสนับสนุนที่ใครคนหนึ่งลงมือได้ จับภาพหน้าจอของกล่องโต้ตอบ เพราะข้อความยาวถูกตัดในบันทึก และจดเวลาไว้ด้วย เพื่อให้ผู้ดูแลเปรียบเทียบกับเฮดเอนด์ได้

การตั้งค่าที่ตัดสินจริง ๆ

นโยบาย Windows VPN Establishment คือการควบคุมที่เกี่ยวข้อง และมีค่าที่บันทึกไว้สองค่า คือ ผู้ใช้ในเครื่องเท่านั้น และอนุญาตผู้ใช้ระยะไกล ค่าที่สองอนุญาตให้สร้างอุโมงค์จากเซสชัน Remote Desktop ในการกำหนดค่าที่รองรับ ค่าแรกคือท่าทีเริ่มต้นในโปรไฟล์องค์กรจำนวนมาก

อย่าสับสนกับ Windows Logon Enforcement ซึ่งคู่มือโปรไฟล์บันทึกว่าเป็นนโยบายแยกต่างหากเกี่ยวกับเซสชันการลงชื่อเข้าใช้ ตัวหนึ่งกำหนดว่าเซสชันใดสร้างอุโมงค์ได้ อีกตัวกำหนดพฤติกรรมพร้อมกันหรือก่อนการลงชื่อเข้าใช้ การเปลี่ยนตัวที่ผิดไม่เกิดผลที่มองเห็นได้

อ่านโปรไฟล์ที่ถูกใช้จริง

ในการติดตั้งแบบมีการจัดการ ไคลเอนต์ได้รับโปรไฟล์จากเฮดเอนด์หรือจากตำแหน่งที่จัดการ และสำเนาที่แก้ไขบนดิสก์มักไม่ใช่ฉบับที่บังคับใช้ นั่นคือเหตุผลที่การแก้ไข XML ในเครื่องอาจดูถูกต้องและไม่เปลี่ยนอะไรเลย

ถามผู้ดูแลว่าเครื่องได้รับโปรไฟล์และนโยบายกลุ่มใด ไม่ใช่ถามว่ามีไฟล์ใดบนแล็ปท็อป สองอย่างนี้มักไม่ตรงกันหลังอัปเกรดเวอร์ชัน สำเนาเก่าในโฟลเดอร์ในเครื่องยังเปิดในตัวแก้ไขได้และยังดูถูกต้อง มันเพียงไม่ใช่สิ่งที่ไคลเอนต์ใช้

เส้นทาง RDP หลังจากอุโมงค์ขึ้น

การอนุญาตให้สร้างจากระยะไกลไม่ได้รับประกันว่าเซสชัน Remote Desktop ของคุณจะอยู่รอด เมื่ออุโมงค์เปลี่ยนเส้นทางหรือกฎการเข้าถึงในเครื่อง เซสชันที่พาคุณเข้ามาอาจสูญเสียเส้นทางที่ค้ำไว้

วางแผนช่องทางกู้คืนก่อนการเปลี่ยนแปลง คือ การเข้าถึงคอนโซล เส้นทางการจัดการนอกแบนด์ หรือขั้นตอนการเชื่อมต่อใหม่ที่มีเอกสาร การตัดสินใจเรื่องนี้ภายหลังมักหมายถึงการเดินทางไปที่เครื่อง

อย่าใช้กลอุบายขโมยเซสชัน เครื่องมือควบคุมระยะไกลทางเลือก หรือรหัสผ่านที่เขียนไว้ในสคริปต์เพื่อเลี่ยงนโยบาย หากองค์กรไม่อนุญาตขั้นตอนการทำงานนี้ ก้าวที่ถูกต้องคือเส้นทางการดูแลระบบที่องค์กรรองรับ

สิ่งที่ควรส่งให้ผู้ดูแล

ให้ข้อความ เวอร์ชันไคลเอนต์ ชื่อโปรไฟล์ที่ใช้งานอยู่ ชนิดเซสชันที่คุณเชื่อมต่อ และการพยายามจากคอนโซลในเครื่องมีพฤติกรรมต่างหรือไม่ พร้อมประทับเวลา

การเปรียบเทียบสุดท้ายนี่แหละที่ประหยัดเวลา เพราะแยกการปฏิเสธตามนโยบายเซสชันออกจากความล้มเหลวของอุปกรณ์ทั้งเครื่อง

ตรวจสอบหลังการเปลี่ยนแปลงที่ได้รับอนุมัติ

เมื่อโปรไฟล์อัปเดตแล้ว ให้สร้างเซสชัน RDP ใหม่และเชื่อมต่ออีกครั้ง จากนั้นทำลำดับการตัดการเชื่อมต่ออย่างตั้งใจ ยืนยันว่าอุโมงค์ขึ้น เส้นทางการจัดการอยู่รอด และบัญชีของคุณยังลงชื่อเข้าใช้เดสก์ท็อปได้

การรับเข้า VPN การอยู่รอดของเซสชัน และสิทธิ์ลงชื่อเข้าใช้ Windows เป็นการตรวจสอบแยกกันสามอย่าง ผ่านอย่างหนึ่งไม่บอกอะไรเกี่ยวกับอีกสองอย่าง