Uzak bilgisayar bir VPN'e bağlandığında RDP neden donar

RDP penceresinin içindesiniz, masaüstü ekranda ve o uzak makinede çalışan VPN istemcisinde Connect'e basıyorsunuz. Saniyeler sonra pencere donuyor ve ardından kapanıyor. Tünel yükseldi, VPN günlüğünün bildireceği tam olarak bu ve bu, tüm olaydaki en az işe yarar gerçek. Oturum öldü çünkü konuştuğunuz makine size yanıt verme biçimini değiştirdi, bu yüzden tünele dokunmadan önce dönüş yolunu inceleyin.

Oturumunuzun gerçekte kullandığı uç noktayı kaydedin

RDP istemcinize yazdığınız adres, uzak bilgisayarın yanıt verdiği adres olmak zorunda değil. NAT, bir RD Gateway veya ana makinenin önündeki yük dengeleyici bunu yeniden yazabilir ve dönüş yolu, uzak makinenin kurulmuş bağlantıda gördüğü kaynak adresle belirlenir. Burada hata yaparsanız hiç dahli olmayan bir yolu aramaya başlarsınız.

Uzak bilgisayarda, VPN bağlanmadan önce kurulmuş oturumları listeleyin ve eş adresini tablodan okuyun. Sonra bunu o makinenin dışında bir yere yazın, çünkü oturum düştükten sonra okuyamazsınız.

Get-NetTCPConnection -LocalPort 3389 -State Established |
  Select-Object LocalAddress, RemoteAddress, RemotePort

Bu adresi erişilebilir kalması gereken şey olarak ele alın. Yönetim VLAN'ında özel bir adressa, tünel o yolu kendi hâline bırakmalıdır. Genel bir adressa, yanıt isteği içeri getiren aynı arayüzden çıkmalıdır.

O uç noktaya yanıt veren yolu okuyun

Windows her hedef için bir arayüz seçer ve Find-NetRoute şu anda vereceği kararı gösterir. Bağlanmadan önce bunu eş adresinde çalıştırın, sonra tünel ayaktayken tekrar çalıştırın ve iki yanıttaki arayüz dizini ile sonraki atlamayı karşılaştırın. Arayüzün değişmesi, tek satır çıktıdaki hatanın tamamıdır.

Find-NetRoute -RemoteIPAddress 203.0.113.24
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-VpnConnection -Name "Work VPN" | Select-Object SplitTunneling, Routes

Tam tünel profili, tünel üzerinden varsayılan bir yol kurar, Windows'un VPN yönlendirme kılavuzu bunu açıkladığı gibi, artık her yanıt VPN üzerinden çıkar ve karşı tarafın istemcinize geri yönlendirme yapmasına bağlıdır. Bölünmüş tünel profili varsayılan olarak daha güvenlidir ama bağışık değildir, çünkü eş adresini kapsayan belirli bir yol fiziksel varsayılan yolu yine de yenebilir. Her durumda soru aynıdır: tünel yükseldikten sonra eş adresi hâlâ oturumu içeri getiren arayüze mi çözümleniyor?

Değilse, düzeltme profile veya VPN ilkesinin sahibi tarafından onaylanan açık bir istisna yoluna aittir. Bir olay sırasında üretim ana makinesinde yönlendirme tablosunu elle düzenlemek, geçici bir çözümün belgelenmemiş yapılandırmaya dönüşme yoludur.

Güvenlik duvarı profilinin değişimini izleyin

Yeni arayüz ortaya çıktığında sınıflandırılır ve sınıflandırma trafiğinin hangi güvenlik duvarı profiline göre değerlendirileceğini belirler. Public kategorisine düşen bir tünel bağdaştırıcısı, yönlendirme tablosu kusursuz görünse bile gelen RDP'yi sessizce durdurabilir. Bu ikinci arıza biçimidir ve farklı bir belirti üretir: yol doğrudur, paketler gelir ve ana makine bağlantıyı reddeder.

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Tünel arayüzüne bağlı profili, Remote Desktop kurallarının hedeflediği profillerle karşılaştırın. Yalnızca Domain ve Private için etkinleştirilmiş bir kural, Public olarak sınıflandırılmış bir arayüz için hiçbir şey yapmaz ve hiçbir yol düzeltmesi bunu değiştirmez. Bazı VPN istemcileri tasarım gereği yerel alt ağa erişimi de kısıtlar, bu da aynı arıza biçimini başka bir denetimden üretir.

Geçişi geri dönebileceğiniz bir yerden test edin

Tüm diziyi bant dışı bir konsoldan veya ikinci bir yönetim yolundan şu sırayla yapın: mevcut oturumu doğrulayın, VPN'i bağlayın, yeni bir oturum açın, sonra VPN'i kesin ve bir tane daha açın. Her adım farklı bir geçişi sınar ve ilk başarısız olan hangi denetimin sorumlu olduğunu söyler.

Başlamadan önce geri almayı planlayın, örneğin belirli bir aralıktan sonra rasdial "Work VPN" /disconnect çalıştıran zamanlanmış bir görev. Bu, kaybedilen bir oturumu yerinde ziyaret yerine beş dakikalık bir kesintiye dönüştürür ve tüm prosedürdeki en ucuz sigortadır.

Oturum zaten gittiyse içeri yeniden girin

Ana makine zaten ulaşılamazsa, aynı istemciden yeni RDP bağlantıları denemeyi bırakın ve ortamın zaten sahip olduğu kurtarma kanalını kullanın: bir RD Gateway, bir hipervizör konsolu veya bant dışı yönetim arayüzü. Konsol erişimi olan kişiden aynı Find-NetRoute ve Get-NetConnectionProfile komutlarını çalıştırmasını isteyin, böylece kanıtlar kurtarmadan sonra da yaşasın.

Sonra en hızlısını değil kalıcı düzeni seçin. Ya yönetim yolu VPN profili tarafından açıkça korunur ya da yönetim ana makinenin varsayılan yoluna bağlı olmayan bir kanala taşınır. İkisi de savunulabilir; tahmin edilmiş bir ağ geçidiyle ana makine yolu değil. Hangisini seçtiğinizi yazın ve hayatta kalması gereken eş adresini kaydedin.