RDP перестає працювати після встановлення VPN-клієнта? Винен брандмауер

Через кілька хвилин після завершення встановлення споживчого VPN-клієнта портал досі повідомляє, що VM працює, публічний IP не змінився, а RDP не відповідає. Зазвичай припускають, що VM впала або змінилася група безпеки мережі, і обидва припущення зазвичай хибні. Змінився профіль брандмауера Windows, у якому перебуває машина, і правило RDP, яке раніше збігалося, більше не збігається. Ремонт починається з отримання оболонки шляхом, що не залежить від RDP.

VM працює; правило перестало збігатися

Правила брандмауера Windows мають набір профілів, і правило, обмежене приватним або доменним профілем, не діє, доки машина перебуває в загальнодоступному профілі. Інсталятори VPN додають адаптери й маршрути, і багато з них як побічний ефект посилюють загальнодоступний профіль. Слухач залишається прив’язаним до 3389, і пакети все ще надходять, але невідповідність профілю їх відкидає.

Стан живлення й доступність — різні факти, і працююча VM із закритим портом ззовні виглядає точно як та, що впала.

Перевірте порт, перш ніж щось змінювати. Спроба підключення до 3389, що завершується тайм-аутом, тоді як команда гостьового агента ще повертає вивід, указує на брандмауер хоста. Порт, що відповідає, а RDP усе ще не працює, означає, що несправність вище мережевого рівня, і цей ремонт її не торкнеться. Запишіть, який із двох випадків ви бачили, бо від цього залежить решта плану.

Двоє воріт закриваються незалежно

Спочатку працює політика платформи: група безпеки мережі бачить пакет раніше за гостя. Такий порядок робить бездоганний запис NSG марним, коли хост відкидає пакет, а відкрите правило хоста — марним, коли платформа його відхиляє. Розглядайте їх як окремі ворота й перевіряйте кожні окремо.

Прочитайте чинні правила NSG на порталі або в CLI, а потім порівняйте їх із власними правилами гостя. Не припускайте, що остання зміна, яку ви пам’ятаєте, і є та, що набула чинності.

Споживчий клієнт може також установити драйвер фільтрації або kill switch, який блокує трафік нижче брандмауера Windows. Якщо правила брандмауера виглядають правильно, а порт усе ще не працює, наступний підозрюваний — цей рівень.

Використайте гостьовий агент як шлях назад

Дві функції віддаленого виконання, Run Command і Custom Script Extension, працюють усередині гостя через агент платформи. Жодна не потребує RDP, тому помилка брандмауера на них не впливає. Обидві повертають вивід скрипту, що робить їх каналом діагностики й водночас каналом ремонту.

Прочитайте активний профіль і правило RDP, перш ніж змінювати будь-що з них:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Повторне ввімкнення вхідних правил у цьому профілі — тимчасовий захід, а не мета. Використайте його, щоб отримати сеанс, а потім належно закрийте прогалину:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

Цей перемикач відкриває кожне вхідне правило профілю, а не лише RDP. Коли маєте сеанс, замініть його обмеженим правилом і відновіть ті налаштування, які справді потрібні. Якщо агент теж недоступний, запасний варіант — послідовна консоль або перестворений диск, і це практична причина тримати агент здоровим.

Звузьте прогалину, перш ніж закрити сеанс

Тимчасова зміна профілю — це двері, відчинені для кожного вхідного правила цього профілю. Замініть їх правилом, обмеженим вашою адресою джерела та портом RDP, а потім підтвердьте, що профіль повернувся до задуманого стану. Зробіть це, доки сеанс ще є, бо наступна помилка може бути незворотною віддалено. Тримайте готовим другий адміністративний шлях, наприклад Bastion або послідовну консоль, під час зміни.

Підтвердьте результат зі своєї робочої станції тестом порту, а зсередини гостя — списком правил:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Увімкніть журналювання брандмауера на час тесту. Один рядок про відкинутий пакет, де згадано 3389 і активний профіль, відповідає на питання швидше, ніж ще одне перезавантаження.

Не дайте наступному інсталятору зробити це знову

Якщо цей хост не має причин запускати клієнт, видаліть його. Установлений клієнт — це постійне запрошення наступному оновленню знову переписати профіль, і наступна людина зневаджуватиме той самий збій з порталу.

Зробіть знімок диска, перш ніж щось перепише мережеві налаштування, і тримайте другий адміністративний шлях готовим до того, як він знадобиться.

Запишіть, що змінив інсталятор: адаптери, маршрути, профілі брандмауера, драйвери фільтрації та служби. Цей запис перетворює наступний інцидент на відомий шаблон, а не на нове розслідування. Коли VM потребує тунелю рівно до однієї служби, поставте клієнт на свою робочу станцію або збудуйте зв’язок між майданчиками замість встановлення на сервер продукту для ноутбуків. Споживчі клієнти розраховані на ноутбуки, а сервер, яким ви керуєте віддалено, — ні.