VPN istemcisi kurulduktan sonra RDP duruyor mu? Suçlu güvenlik duvarı

Tüketici VPN istemcisi kurulumu bitirdikten birkaç dakika sonra portal hâlâ VM’in çalıştığını söylüyor, genel IP değişmemiş ve RDP yanıt vermiyor. İnsanlar genellikle VM’in çöktüğünü ya da ağ güvenlik grubunun değiştiğini varsayar ve ikisi de genellikle yanlıştır. Değişen şey, makinenin içinde bulunduğu Windows güvenlik duvarı profilidir ve eskiden eşleşen RDP kuralı artık eşleşmiyor. Onarım, RDP’ye bağlı olmayan bir yoldan kabuk almakla başlar.

VM çalışıyor; kural artık eşleşmiyor

Windows’ta güvenlik duvarı kuralları bir profil kümesi taşır ve Özel veya Etki Alanı ile sınırlı bir kural, makine Ortak profilde olduğu sürece etkisizdir. VPN yükleyicileri bağdaştırıcılar ve yollar ekler ve birçoğu yan etki olarak Ortağı sıkılaştırır. Dinleyici 3389’a bağlı kalır ve paketler hâlâ gelir, ancak profil uyumsuzluğu onları atar.

Güç durumu ve erişilebilirlik ayrı olgulardır ve kapalı bağlantı noktası olan çalışan bir VM dışarıdan tam olarak çökmüş gibi görünür.

Herhangi bir şeyi değiştirmeden önce bağlantı noktasını test edin. 3389’a bağlantı denemesi zaman aşımına uğrarken konuk aracısının komutu hâlâ çıktı döndürüyorsa bu, ana makinenin güvenlik duvarına işaret eder. Bağlantı noktası yanıt verirken RDP hâlâ başarısız oluyorsa arıza ağ katmanının üzerindedir ve bu onarım ona dokunmaz. İki durumdan hangisini gördüğünüzü not edin, çünkü planın geri kalanı buna bağlıdır.

İki kapı bağımsız olarak kapanır

Önce platform ilkesi çalışır: ağ güvenlik grubu paketi konuktan önce görür. Bu sıralama, ana makine paketi attığında kusursuz bir NSG girdisini işe yaramaz hâle getirir ve platform onu reddettiğinde açık bir ana makine kuralını işe yaramaz hâle getirir. Onları ayrı kapılar olarak ele alın ve her birini ayrı ayrı test edin.

NSG’nin geçerli kurallarını portalda veya CLI’de okuyun, ardından konuğun kendi kurallarıyla karşılaştırın. Hatırladığınız son değişikliğin yürürlüğe giren değişiklik olduğunu varsaymayın.

Tüketici istemcisi ayrıca Windows güvenlik duvarının altında trafiği engelleyen bir filtre sürücüsü veya kill switch kurabilir. Güvenlik duvarı kuralları doğru görünüyorsa ve bağlantı noktası hâlâ başarısız oluyorsa, sıradaki şüpheli o katmandır.

Konuk aracısını geri dönüş yolu olarak kullanın

İki uzaktan yürütme özelliği, Run Command ve Custom Script Extension, platform aracısı üzerinden konuğun içinde çalışır. Hiçbiri RDP gerektirmez, bu yüzden güvenlik duvarı hatası onları etkilemez. İkisi de betiğin çıktısını döndürür, bu da onları tanılama ve aynı zamanda onarım kanalı yapar.

İkisinden birini değiştirmeden önce etkin profili ve RDP kuralını okuyun:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

O profilde gelen kurallarını yeniden etkinleştirmek geçici bir önlemdir, hedef değildir. Oturum almak için kullanın ve ardından boşluğu düzgün şekilde kapatın:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

O anahtar profildeki her gelen kuralını açar, yalnızca RDP’yi değil. Oturum aldıktan sonra yerine sınırlı bir kural koyun ve gerçekten istediğiniz ayarları geri yükleyin. Aracı da kullanılamıyorsa yedek seçenek seri konsol veya yeniden oluşturulmuş bir disktir ve aracıyı sağlıklı tutmanın pratik nedeni budur.

Oturumu kapatmadan önce boşluğu daraltın

Geçici profil değişikliği, o profilin her gelen kuralı için açık tutulan bir kapıdır. Bunu kaynak adresiniz ve RDP bağlantı noktasıyla sınırlı bir kuralla değiştirin, ardından profilin amaçlanan duruma döndüğünü doğrulayın. Bunu oturum hâlâ elinizdeyken yapın, çünkü sonraki hata uzaktan geri alınamayabilir. Değişiklik sırasında Bastion veya seri konsol gibi ikinci bir yönetim yolu hazır bulundurun.

Sonucu iş istasyonunuzdan bağlantı noktası testiyle, konuğun içinden ise kural listesiyle doğrulayın:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Test süresince güvenlik duvarı günlüğünü açın. 3389’u ve etkin profili belirten atılmış bir paketle ilgili tek bir satır, soruyu başka bir yeniden başlatmadan daha hızlı yanıtlar.

Bir sonraki yükleyicinin bunu tekrar yapmasını önleyin

O ana makinenin istemciyi çalıştırmak için bir nedeni yoksa kaldırın. Kurulu bir istemci, bir sonraki güncellemenin profili yeniden yazması için kalıcı bir davettir ve bir sonraki kişi aynı kesintiyi portaldan ayıklayacaktır.

Bir şey ağ ayarlarını yeniden yazmadan önce disk anlık görüntüsü alın ve ihtiyaç duymadan önce ikinci yönetim yolunu hazır tutun.

Yükleyicinin neyi değiştirdiğini kaydedin: bağdaştırıcılar, yollar, güvenlik duvarı profilleri, filtre sürücüleri ve hizmetler. Bu kayıt, sonraki olayı yeni bir soruşturma yerine bilinen bir desene dönüştürür. VM tam olarak tek bir hizmete tünel gerektiriyorsa istemciyi iş istasyonunuza koyun veya sunucuya dizüstü bilgisayar ürünü kurmak yerine iki saha arasında bağlantı kurun. Tüketici istemcileri dizüstü bilgisayarlara yöneliktir ve uzaktan yönettiğiniz sunucu öyle değildir.