VPN mijozi o‘rnatilgandan keyin RDP to‘xtaydimi? Ayb xavfsizlik devorida

Iste’molchi VPN mijozi o‘rnatishni tugatgandan bir necha daqiqa o‘tgach ham portal VM ishlayotganini aytadi, ommaviy IP o‘zgarmagan, RDP esa javob bermaydi. Odamlar odatda VM qulab tushgan yoki tarmoq xavfsizlik guruhi o‘zgargan deb o‘ylaydi, ikkalasi ham odatda noto‘g‘ri. O‘zgargan narsa — mashina turgan Windows xavfsizlik devori profili, va avval mos kelgan RDP qoidasi endi mos kelmaydi. Tuzatish RDPga bog‘liq bo‘lmagan yo‘l bilan shell olishdan boshlanadi.

VM ishlayapti; qoida mos kelishni to‘xtatdi

Windows’dagi xavfsizlik devori qoidalari profil to‘plamini olib yuradi, Xususiy yoki Domen profili bilan cheklangan qoida esa mashina Umumiy profilda turgan ekan hech qanday ta’sir ko‘rsatmaydi. VPN o‘rnatuvchilari adapterlar va marshrutlar qo‘shadi, ularning ko‘pchiligi yon ta’sir sifatida Umumiyni qattiqlashtiradi. Tinglovchi 3389 ga bog‘langan qoladi va paketlar hali ham keladi, lekin profil mos kelmasligi ularni tashlab yuboradi.

Quvvat holati va yetib borish alohida faktlar, yopiq portli ishlab turgan VM esa tashqaridan xuddi qulagan VM kabi ko‘rinadi.

Biror narsani o‘zgartirishdan oldin portni tekshiring. 3389 ga ulanish urinishi vaqt chegarasiga yetib, mehmon agentining buyrug‘i esa hali ham chiqish qaytarayotgan bo‘lsa, bu host xavfsizlik devoriga ishora qiladi. Port javob beradi, lekin RDP hali ham muvaffaqiyatsiz bo‘lsa, nosozlik tarmoq qatlamidan yuqorida va bu tuzatish unga tegmaydi. Ikki holatdan qaysinisini ko‘rganingizni yozib oling, chunki qolgan reja shunga bog‘liq.

Ikki darvoza mustaqil yopiladi

Avval platforma siyosati ishlaydi: tarmoq xavfsizlik guruhi paketni mehmondan oldin ko‘radi. Bu tartib host paketni tashlaganda mukammal NSG yozuvini foydasiz qiladi, platforma rad etganda esa ochiq host qoidasini foydasiz qiladi. Ularni alohida darvozalar deb biling va har birini alohida sinab ko‘ring.

NSGning amaldagi qoidalarini portalda yoki CLI’da o‘qing, so‘ng ularni mehmonning o‘z qoidalari bilan solishtiring. Esda qolgan oxirgi o‘zgarish kuchga kirgan deb o‘ylamang.

Iste’molchi mijozi Windows xavfsizlik devori ostida trafikni to‘suvchi filtr drayveri yoki o‘chirgichni ham o‘rnatishi mumkin. Xavfsizlik devori qoidalari to‘g‘ri ko‘rinsa-yu, port hali ham muvaffaqiyatsiz bo‘lsa, keyingi gumondor o‘sha qatlam.

Mehmon agentini qaytish yo‘li sifatida ishlating

Masofadan bajarishning ikki xususiyati, Run Command va Custom Script Extension, platforma agenti orqali mehmon ichida ishlaydi. Ikkalasiga ham RDP kerak emas, shuning uchun xavfsizlik devori xatosi ularga ta’sir qilmaydi. Ikkalasi skript chiqishini qaytaradi, bu ularni diagnostika va ayni paytda tuzatish kanaliga aylantiradi.

Ikkalasidan birini o‘zgartirishdan oldin faol profil va RDP qoidasini o‘qing:

Get-NetConnectionProfile
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

O‘sha profilda kiruvchi qoidalarni qayta yoqish vaqtinchalik chora, maqsad emas. Undan sessiya olish uchun foydalaning, so‘ng bo‘shliqni to‘g‘ri yoping:

Set-NetFirewallProfile -Name Public -AllowInboundRules True

O‘sha kalit profildagi har bir kiruvchi qoidani ochadi, faqat RDPni emas. Sessiya olgach, uni cheklangan qoida bilan almashtiring va haqiqatan kerak bo‘lgan sozlamalarni tiklang. Agent ham mavjud bo‘lmasa, zaxira variant — ketma-ket konsol yoki qayta qurilgan disk, va agentni sog‘lom saqlashning amaliy sababi shu.

Sessiyani yopishdan oldin bo‘shliqni torga keltiring

Vaqtinchalik profil o‘zgarishi — o‘sha profilning har bir kiruvchi qoidasi uchun ochiq tutilgan eshik. Uni manba manzilingiz va RDP porti bilan cheklangan qoida bilan almashtiring, so‘ng profil ko‘zlangan holatga qaytganini tasdiqlang. Buni sessiya hali qo‘lingizda bo‘lganda qiling, chunki keyingi xato masofadan qaytarilmasligi mumkin. O‘zgartirish vaqtida Bastion yoki ketma-ket konsol kabi ikkinchi boshqaruv yo‘lini tayyor tuting.

Natijani ish stansiyangizdan port testi bilan, mehmon ichidan esa qoidalar ro‘yxati bilan tasdiqlang:

Test-NetConnection -ComputerName 203.0.113.25 -Port 3389
Get-NetFirewallRule -DisplayName "RDP from admin" | Get-NetFirewallPortFilter

Test davomida xavfsizlik devori jurnalini yoqing. 3389 va faol profilni qayd etgan tashlangan paket haqidagi bitta satr savolga yana bir qayta yuklashdan tezroq javob beradi.

Keyingi o‘rnatuvchi buni takrorlashiga yo‘l qo‘ymang

Agar o‘sha hostda mijozni ishga tushirishga asos bo‘lmasa, uni o‘chiring. O‘rnatilgan mijoz keyingi yangilanishga profilni yana qayta yozish uchun doimiy taklifnoma, keyingi odam esa portaldan xuddi shu uzilishni tuzatadi.

Biror narsa tarmoq sozlamalarini qayta yozishidan oldin disk suratini oling va kerak bo‘lishidan oldin ikkinchi boshqaruv yo‘lini tayyor tuting.

O‘rnatuvchi nimalarni o‘zgartirganini yozib oling: adapterlar, marshrutlar, xavfsizlik devori profillari, filtr drayverlari va xizmatlar. Bu yozuv keyingi hodisani yangi tekshiruv o‘rniga ma’lum namuna qiladi. VM aynan bitta xizmatga tunnel kerak bo‘lsa, mijozni ish stansiyangizga qo‘ying yoki serverga noutbuk uchun mahsulot o‘rnatish o‘rniga saytlar orasidagi aloqa quring. Iste’molchi mijozlari noutbuklar uchun, masofadan boshqaradigan serveringiz esa bunday emas.