เดสก์ท็อประยะไกลผ่าน VPN: คุณอยู่ในความล้มเหลวขั้นไหน?

อุโมงค์ของคุณทำงานแล้ว wiki ภายในโหลดได้ แต่เดสก์ท็อประยะไกลยังปฏิเสธการเชื่อมต่อ การผสมกันแบบนี้เป็นเรื่องปกติ เพราะ VPN ให้เส้นทางไปยังโฮสต์ ขณะที่บริการเดสก์ท็อปต้องรอรับฟัง ได้รับอนุญาตจากไฟร์วอลล์ของตัวเอง และพร้อมพิสูจน์ตัวตนบัญชี ระหว่างอุโมงค์ที่ใช้งานได้กับเซสชันที่ใช้ได้จริงมีสี่ขั้นของความล้มเหลว และแต่ละขั้นล้มเหลวด้วยข้อความต่างกัน อ่านข้อความก่อน เพราะข้อความบอกชื่อขั้นนั้น

สี่ความล้มเหลวที่ดูเหมือนหนึ่งเดียว

ขั้นต่างๆ เรียงลำดับ ชื่อแปลงเป็นที่อยู่ส่วนตัวที่การออกแบบตั้งใจ พอร์ตตอบแฮนด์เชก TCP โฮสต์ยอมรับการเชื่อมต่อตามนโยบายของตัวเอง และการลงชื่อเข้าใช้เซสชันสำเร็จ แต่ละขั้นทำให้ขั้นถัดไปทดสอบไม่ได้ จึงเปลี่ยนการตั้งค่า RDP ก่อนเครือข่ายจะเรียบร้อยมีแต่เสียงรบกวน อาการจากฝั่งผู้ใช้ดูเหมือนกันในทั้งสี่กรณี มีเพียงข้อความของไคลเอนต์ที่แยกออกจากกัน

เว็บไซต์ภายในที่ใช้งานได้ไม่ได้พิสูจน์ทั้งสี่ข้อ พิสูจน์เพียงว่าโฮสต์ในเครือข่ายเดียวกันตอบบนพอร์ตอื่นด้วยบริการอื่น ถือเป็นหลักฐานเรื่องการกำหนดเส้นทางเท่านั้น

ทดสอบตามลำดับและบันทึกผล การกระโดดไปหน้าลงชื่อเข้าใช้เพราะพอร์ตตอบ คือวิธีใช้เวลาบ่ายทั้งบ่ายกับปัญหาไฟร์วอลล์ที่ขั้นแรกหาเจอแล้ว

มีอะไรฟังอยู่บน 3389 หรือไม่

เริ่มจากชื่อ เพราะชื่อที่แปลงเป็นที่อยู่ผิดทำให้ทุกการทดสอบหลังจากนั้นใช้ไม่ได้ ถามตัวแปลงชื่อของอุโมงค์ว่าชื่อหมายถึงอะไร แล้วเทียบคำตอบกับที่อยู่ส่วนตัวที่การออกแบบตั้งใจ ไม่ใช่กับคำตอบที่สำเร็จ ชื่อที่แปลงเป็นที่อยู่สาธารณะคือปัญหาทั้งหมด และไม่มีการเปลี่ยนแปลง RDP ใดแก้ได้

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

จากนั้นทดสอบพอร์ต ไม่ใช่โฮสต์ แฮนด์เชก TCP ที่สมบูรณ์บน 3389 แยกการเข้าถึงออกจากทุกอย่างที่อยู่เหนือขึ้นไป

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

รันการทดสอบนั้นจาก LAN และจากอุโมงค์ เพราะความต่างระหว่างสองผลลัพธ์ระบุตำแหน่งความผิดพลาดบนเส้นทาง VPN มีไฟร์วอลล์สองตัวบนเส้นทางและสับสนได้ง่าย เครือข่ายต้องอนุญาตให้ที่อยู่ของอุโมงค์ไคลเอนต์ไปถึงโฮสต์ และไฟร์วอลล์ของโฮสต์เองต้องอนุญาตแหล่งเดียวกันบนพอร์ตที่รอรับฟัง กฎที่จำกัดเฉพาะซับเน็ต LAN ไม่ครอบคลุมกลุ่มไคลเอนต์ VPN และนี่คือสาเหตุทั่วไปของการหมดเวลาเกินที่ผู้ใช้ระยะไกลเท่านั้นรายงาน ตรวจสอบขอบเขต ไม่ใช่การมีอยู่ของกฎ

เส้นทางขากลับสมควรได้รับการตรวจแบบเดียวกัน คำตอบต้องมีเส้นทางกลับไปยังกลุ่มไคลเอนต์ ไม่ใช่ไปยัง LAN และการแปลงที่อยู่หน้าโฮสต์เปลี่ยนแหล่งที่บันทึกของคุณจะแสดง หากพอร์ตตอบทางหนึ่งแต่ไม่อีกทาง ครึ่งที่หายไปมักเป็นเส้นทางขากลับ

อ่านข้อความก่อนอ่านการกำหนดค่า

ขั้นที่สามคือโฮสต์ปฏิเสธการเชื่อมต่อตามนโยบายของตัวเอง ซึ่งมักดูเหมือนพอร์ตที่เปิดและปิดทันที มีบางอย่างตอบ แสดงว่าเป็นข้อมูลที่มีประโยชน์ไม่ใช่ความเงียบ หากแฮนด์เชกเสร็จและการเชื่อมต่อตายทันที เครือข่ายปกติดีและโฮสต์เป็นผู้ตัดสิน ดูกาสิทธิ์ของเดสก์ท็อประยะไกลก่อนแตะเครือข่ายอีกครั้ง

คุณลักษณะอาจเปิดไว้สำหรับเครื่อง ขณะที่การเข้าถึงจำกัดเฉพาะบางกลุ่ม และตัวรับฟังอาจผูกในแบบที่ตัดที่อยู่ที่คุณมาจากออก การพิสูจน์ตัวตนระดับเครือข่ายเพิ่มประตูที่ล้มเหลวก่อนเดสก์ท็อปโหลด และข้อความข้อผิดพลาดต่างจากรหัสผ่านผิด เทียบข้อความของไคลเอนต์กับบันทึกเหตุการณ์ของโฮสต์ เพราะข้อความบอกชื่อประตูและบันทึกบอกบัญชี

การลงชื่อเข้าใช้เซสชันเป็นขอบเขตของตัวเอง

การพิสูจน์ตัวตนเป็นของบริการเดสก์ท็อป ไม่ใช่ VPN ตัวตนของอุโมงค์และบัญชีเดสก์ท็อปเป็นข้อมูลรับรองแยกกันพร้อมนโยบายล็อกแยกกัน ดังนั้น อุโมงค์ที่ใช้งานได้พิสูจน์เพียงว่าอุโมงค์ยอมรับคุณ การล็อกบัญชีเดสก์ท็อปไม่รบกวนอุโมงค์ และกลับกันก็จริงเช่นกัน

รักษาทั้งสองไว้ให้สมบูรณ์ เมื่อไม่มีเส้นทางส่วนตัว จงแก้เส้นทาง เพราะการเผยแพร่ตัวรับฟังบนอินเทอร์เน็ตแลกข้อบกพร่องเรื่องการเข้าถึงกับเดสก์ท็อปที่เปิดเผย อย่าทำให้การตรวจสอบตัวตนของเซสชันอ่อนแอลงเพื่อข้ามคำเตือนใบรับรองที่ปรากฏขึ้นพร้อมกัน ใบรับรองที่ลงนามเองบนตัวรับฟัง RDP ให้คำเตือนตามการออกแบบ การยอมรับจึงเป็นการตัดสินใจไม่ใช่ขั้นตอน

นับความพยายามก่อนลองใหม่ ขีดจำกัดการล็อกของเดสก์ท็อปนับการลงชื่อเข้าใช้ที่ล้มเหลวแยกจากความล้มเหลวของ VPN และไคลเอนต์ที่ลองใหม่ตามตัวจับเวลาอาจข้ามขีดจำกัดขณะคุณยังแก้กฎอยู่ นี่คือกลไกการลองใหม่แบบขนานเดียวกับที่ล็อกบัญชีหลังเปลี่ยนรหัสผ่าน

เซสชันเคลื่อนย้ายอะไรได้ และอะไรอยู่กับที่

เรียนรู้ขั้นตอนออกจากระบบที่ได้รับอนุมัติก่อนจำเป็น การปิดหน้าต่างอาจตัดเฉพาะมุมมองขณะเซสชันยังทำงานตามนโยบายที่ตั้งไว้ ซึ่งสำคัญบนโฮสต์ที่ใช้ร่วมกันหรือถูกตรวจสอบ ออกจากระบบจากภายในเซสชันเมื่อนโยบายคาดหวังเช่นนั้น

จากนั้นตัดสินว่าเซสชันพาอะไรได้ เพราะคลิปบอร์ด ไดรฟ์ที่เปลี่ยนเส้นทาง การเปลี่ยนเส้นทางเครื่องพิมพ์ และการถ่ายโอนไฟล์ย้ายข้อมูลระหว่างระบบท้องถิ่นและระยะไกลในที่ที่นโยบายอนุญาต แอปพลิเคชันที่เผยแพร่ซึ่งทำงานอีกฝั่งไม่ใช่ขอบเขตปลอดดาวน์โหลดโดยอัตโนมัติ และเซสชันที่ดูเหมือนอ่านอย่างเดียวก็ยังพาคลิปบอร์ดได้ ทดสอบงานจริงไม่ใช่การเชื่อมต่อ เปิดไฟล์ ใช้แอปพลิเคชัน และยืนยันการเปลี่ยนเส้นทางที่คุณต้องการ คำแนะนำของ Microsoft ในการเข้าถึงเดสก์ท็อประยะไกลจากภายนอก อธิบายตัวเลือกการเปิดเผยที่รองรับ และเป็นแหล่งอ้างอิงที่ดีกว่าตัวรับฟังสาธารณะที่เพิ่มเข้ามาในยามกดดัน