VPN üzerinden Uzak Masaüstü: hangi arıza aşamasındasınız?

Tüneliniz açık, iç wiki yükleniyor ve Uzak Masaüstü hâlâ bağlanmayı reddediyor. Bu birleşim normaldir, çünkü VPN ana makineye bir yol sağlarken masaüstü hizmetinin dinlemesi, kendi güvenlik duvarı tarafından izin verilmesi ve hesabı doğrulamaya hazır olması gerekir. Çalışan bir tünel ile kullanılabilir bir oturum arasında dört arıza aşaması vardır ve her biri farklı bir mesajla başarısız olur. Önce mesajı okuyun, çünkü aşamayı o adlandırır.

Bir gibi görünen dört arıza

Aşamalar sıralıdır: ad, tasarımın amaçladığı özel adrese çözümlenir, bağlantı noktası TCP el sıkışmasına yanıt verir, ana makine bağlantıyı kendi ilkesine göre kabul eder ve oturum açma başarılı olur. Her aşama bir sonrakini test edilemez kılar, bu yüzden ağ düzene girmeden RDP ayarlarını değiştirmek yalnızca gürültü üretir. Belirti kullanıcı tarafından dört durumda da aynı görünür. Onları yalnızca istemcinin mesajı ayırır.

Çalışan bir iç web sitesi dördünden hiçbirini kanıtlamaz. Aynı ağdaki bir ana makinenin başka bir bağlantı noktasında başka bir hizmetle yanıt verdiğini kanıtlar. Bunu yönlendirmeyle ilgili kanıt olarak görün, fazlası değil.

Sırayla test edin ve sonucu yazın. Bağlantı noktası yanıt verdi diye oturum açma ekranına atlamak, ilk adımın zaten bulduğu güvenlik duvarı sorununa bütün bir öğleden sonrayı harcamanın yoludur.

3389'da bir şey dinliyor mu?

Adla başlayın, çünkü yanlış adrese çözümlenen bir ad sonraki her testi geçersiz kılar. Tünelin çözümleyicisine adın ne anlama geldiğini sorun, sonra yanıtı başarılı bir yanıtla değil, tasarımın amaçladığı özel adresle karşılaştırın. Genel bir adrese çözümlenen ad sorunun tamamıdır ve hiçbir RDP değişikliği onu düzeltmez:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

Sonra ana makineyi değil bağlantı noktasını test edin. 3389'da tamamlanan bir TCP el sıkışması erişimi üstündeki her şeyden ayırır:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Bu testi LAN'dan ve tünelden çalıştırın, çünkü iki sonuç arasındaki fark arızayı VPN yolunda yerelleştirir. Yolda iki güvenlik duvarı vardır ve bunları karıştırmak kolaydır: ağ, istemcinin tünel adresinin ana makineye ulaşmasına izin vermeli, ana makinenin kendi güvenlik duvarı da aynı kaynağa dinlenen bağlantı noktasında izin vermelidir. LAN alt ağıyla sınırlı bir kural VPN istemci havuzunu kapsamaz ve yalnızca uzak kullanıcıların bildirdiği bir zaman aşımının en yaygın nedeni budur. Kuralın varlığını değil kapsamını denetleyin.

Dönüş yolu da aynı denetimi hak eder. Yanıtların istemci havuzuna dönüş yoluna ihtiyacı vardır, LAN'a değil, ve ana makinenin önündeki bir çeviri, günlüğünüzün göstereceği kaynağı değiştirir. Bağlantı noktası bir yönde yanıt verip diğerinde vermiyorsa, eksik olan yarı genellikle dönüş yoludur.

Yapılandırmayı okumadan önce mesajı okuyun

Üçüncü aşama, ana makinenin bağlantıyı kendi ilkesine göre reddetmesidir; bu genellikle hemen açılıp kapanan bir bağlantı noktası gibi görünür. Bir şey yanıt verdi ve bu, sessizlikten daha yararlı bir bilgidir. El sıkışma tamamlandıysa ve oturum hemen öldüyse ağ iyidir ve kararı ana makine verir. Ağa yeniden dokunmadan önce Uzak Masaüstü izinlerine bakın.

Özellik makine için etkin olabilir, ancak erişim belirli gruplarla sınırlı olabilir ve dinleyici, geldiğiniz adresi dışlayacak biçimde bağlanmış olabilir. Ağ düzeyinde kimlik doğrulama, masaüstü yüklenmeden önce başarısız olan bir kapı ekler ve hata metni yanlış paroladan farklıdır. İstemcinin mesajını ana makinenin olay günlüğüyle karşılaştırın, çünkü mesaj kapıyı, günlük ise hesabı adlandırır.

Oturum açma kendi sınırıdır

Kimlik doğrulama VPN'in değil masaüstü hizmetinin işidir. Tünelin kimliği ile masaüstü hesabı, ayrı kilitleme ilkeleri olan ayrı kimlik bilgileridir, bu yüzden çalışan bir tünel yalnızca tünelin sizi kabul ettiğini kanıtlar. Masaüstü hesabını kilitlemek tüneli bozmaz ve bunun tersi de doğrudur.

İkisini de sağlam tutun. Özel yol yoksa yolu düzeltin, çünkü dinleyiciyi internete yayımlamak bir erişim hatasını açık bir masaüstüyle değiştirir. Aynı anda beliren bir sertifika uyarısını aşmak için oturumun kimlik denetimlerini de zayıflatmayın. RDP dinleyicisinde kendinden imzalı bir sertifika tasarım gereği uyarı üretir, bu yüzden onu kabul etmek bir adım değil karardır.

Yeniden denemeden önce denemeleri sayın. Masaüstü kilitleme eşikleri başarısız oturum açmaları VPN arızalarından ayrı sayar ve zamanlayıcıyla yeniden deneyen bir istemci, siz hâlâ bir kuralı düzenlerken eşiği aşabilir. Bu, parola değişikliğinden sonra hesapları kilitleyen aynı paralel yeniden deneme mekanizmasıdır.

Oturumun neleri taşıyabileceği ve nerede kaldığı

İhtiyaç duymadan önce onaylanmış oturum kapatma akışını öğrenin. Pencereyi kapatmak yalnızca görünümü kesebilir; oturum yapılandırılmış ilkesine göre çalışmaya devam eder, bu da paylaşılan veya denetlenen bir ana makinede önemlidir. İlke bunu beklediğinde oturumun içinden çıkış yapın.

Sonra oturumun neleri taşıyabileceğine karar verin, çünkü pano, yönlendirilmiş sürücüler, yazıcı yönlendirmesi ve dosya aktarımı, ilkenin izin verdiği yerlerde yerel ve uzak sistemler arasında veri taşır. Karşı tarafta çalışan yayımlanmış bir uygulama otomatik olarak indirmesiz bir sınır değildir ve salt okunur görünen bir oturum bile pano taşıyabilir. Bağlantıyı değil gerçek görevi test edin: dosyayı açın, uygulamayı kullanın ve ihtiyaç duyduğunuz yönlendirmeyi doğrulayın. Microsoft'un uzaktan masaüstüne dışarıdan erişme yönergeleri desteklenen açığa çıkarma seçeneklerini açıklar ve baskı altında eklenen genel bir dinleyiciden daha iyi bir referanstır.