VPN orqali masofaviy ish stoli: qaysi nosozlikdasiz?

Tunnelingiz ishlayapti, ichki viki yuklanmoqda, lekin masofaviy ish stoli baribir ulanmagan. Bu birikma odatiy, chunki VPN hostga yo'l beradi, ish stoli xizmati esa tinglashi, o'z firevali tomonidan ruxsat etilishi va akkauntni autentifikatsiya qilishga tayyor bo'lishi kerak. Ishlaydigan tunnel bilan ishlatish mumkin bo'lgan sessiya o'rtasida to'rtta nosozlik bosqichi bor va har biri boshqa xabar bilan muvaffaqiyatsiz tugaydi. Avval xabarni o'qing, chunki u bosqich nomini aytadi.

Bitta kabi ko'rinadigan to'rtta nosozlik

Bosqichlar tartiblangan: nom dizayn ko'zda tutgan xususiy manzilga yechiladi, port TCP qo'l berishga javob beradi, host ulanishni o'z siyosati bo'yicha qabul qiladi va sessiyaga kirish muvaffaqiyatli bo'ladi. Har bir bosqich keyingisini sinab bo'lmaydigan qiladi, shuning uchun tarmoq tartibga kelmasdan RDP sozlamalarini o'zgartirish faqat shovqin keltiradi. To'rt holatda ham foydalanuvchi tomonidan alomat bir xil ko'rinadi. Ularni faqat mijoz xabari ajratadi.

Ishlaydigan ichki veb-sayt to'rttadan birini ham isbotlamaydi. U faqat o'sha tarmoqdagi host boshqa portda boshqa xizmat bilan javob berganini isbotlaydi. Buni marshrutlash haqidagi dalil deb biling, ortiq emas.

Tartib bilan sinab ko'ring va natijani yozing. Port javob berdi deb kirish ekraniga sakrash, birinchi qadam allaqachon topgan firewall muammosiga butun tushdan keyinni sarflash yo'lidir.

3389 da biror narsa tinglayaptimi?

Nomdan boshlang, chunki noto'g'ri manzilga yechiladigan nom keyingi har bir sinovni bekor qiladi. Tunnel yechuvchisidan nom nimani anglatishini so'rang, so'ngra javobni muvaffaqiyatli javob bilan emas, dizayn ko'zda tutgan xususiy manzil bilan solishtiring. Ommaviy manzilga yechiladigan nom butun muammo, va hech qanday RDP o'zgarishi uni tuzatmaydi:

nslookup desktop.corp.example
Resolve-DnsName desktop.corp.example

So'ngra hostni emas, portni sinang. 3389 da tugallangan TCP qo'l berish yetib borishni uning ustidagi hamma narsadan ajratadi:

Test-NetConnection -ComputerName desktop.corp.example -Port 3389

Bu sinovni LAN dan va tunneldan o'tkazing, chunki ikki natija orasidagi farq nosozlikni VPN yo'liga joylashtiradi. Yo'lda ikkita firewall bor va ularni aralashtirish oson: tarmoq mijoz tunnel manziliga hostga yetishga ruxsat berishi kerak, hostning o'z firevali esa o'sha manbaga tinglayotgan portda ruxsat berishi kerak. LAN quyi tarmog'i bilan cheklangan qoida VPN mijozlar havzasini qamramaydi, va bu faqat masofaviy foydalanuvchilar xabar beradigan vaqt tugashining eng keng tarqalgan sababi. Qoidaning mavjudligini emas, qamrovini tekshiring.

Qaytish yo'li ham xuddi shu tekshiruvga loyiq. Javoblarga mijozlar havzasiga qaytish yo'li kerak, LAN ga emas, va host oldidagi tarjima logingiz ko'rsatadigan manbani o'zgartiradi. Agar port bir yo'nalishda javob berib, ikkinchisida bermasa, yetishmayotgan yarmi odatda qaytish yo'li bo'ladi.

Konfiguratsiyani o'qishdan oldin xabarni o'qing

Uchinchi bosqich — host ulanishni o'z siyosati bo'yicha rad etishi, bu ko'pincha darhol ochilib-yopiladigan portga o'xshaydi. Nimadir javob berdi, va bu sukunatdan ko'ra foydali ma'lumot. Agar qo'l berish tugallanib, sessiya darhol o'lgan bo'lsa, tarmoq joyida va qaror qabul qiladigan host. Tarmoqqa yana tegishdan oldin masofaviy ish stoli ruxsatlarini ko'rib chiqing.

Xususiyat mashina uchun yoqilgan bo'lishi mumkin, lekin kirish muayyan guruhlar bilan cheklangan, va tinglovchi siz kelgan manzilni istisno qiladigan tarzda bog'langan bo'lishi mumkin. Tarmoq darajasidagi autentifikatsiya ish stoli yuklanishidan oldin muvaffaqiyatsiz bo'ladigan darvoza qo'shadi, va uning xato matni noto'g'ri paroldan farq qiladi. Mijoz xabarini hostning voqealar logi bilan solishtiring, chunki xabar darvozani, log esa akkauntni nomlaydi.

Sessiyaga kirish o'z chegarasi

Autentifikatsiya VPN ga emas, ish stoli xizmatiga tegishli. Tunnel identifikatori va ish stoli akkaunti alohida bloklash siyosatlariga ega alohida ma'lumotlar, shuning uchun ishlaydigan tunnel faqat tunnel sizni qabul qilganini isbotlaydi. Ish stoli akkauntini bloklash tunnelga xalaqit bermaydi, va aksi ham to'g'ri.

Ikkalasini ham butun saqlang. Xususiy yo'l bo'lmasa, yo'lni tuzating, chunki tinglovchini internetga e'lon qilish yetib borish xatosini ochiq ish stoliga almashtiradi. Ayni paytda paydo bo'lgan sertifikat ogohlantirishidan o'tish uchun sessiya identifikatsiya tekshiruvlarini ham zaiflashtirmang. RDP tinglovchisida o'z-o'zidan imzolangan sertifikat dizayn bo'yicha ogohlantirish beradi, shuning uchun uni qabul qilish qadam emas, qaror.

Qayta urinishdan oldin urinishlarni sanang. Ish stolining bloklash chegaralari muvaffaqiyatsiz kirishlarni VPN nosozliklaridan alohida sanaydi, va taymer bo'yicha qayta urinayotgan mijoz siz hali qoidani tahrirlayotganda chegaradan oshib ketishi mumkin. Bu parol o'zgargandan keyin akkauntlarni bloklaydigan o'sha parallel qayta urinish mexanizmi.

Sessiya nimani ko'chirishi mumkin va u qayerda qoladi

Ehtiyoj tug'ilishidan oldin tasdiqlangan chiqish jarayonini o'rganing. Oynani yopish faqat ko'rinishni uzishi mumkin, sessiya esa o'z sozlangan siyosati bo'yicha ishlashda davom etadi, bu umumiy yoki audit qilingan hostda muhim. Siyosat kutganda sessiya ichidan chiqing.

So'ngra sessiya nimalarni olib yurishi mumkinligini hal qiling, chunki clipboard, qayta yo'naltirilgan disklar, printer qayta yo'naltirilishi va fayl uzatish siyosat ruxsat bergan joyda mahalliy va masofaviy tizimlar orasida ma'lumot ko'chiradi. Narigi tomonda ishlaydigan e'lon qilingan dastur avtomatik ravishda yuklab olishsiz chegara emas, va faqat o'qish uchun ko'rinadigan sessiya ham clipboard olib yurishi mumkin. Ulanishni emas, haqiqiy vazifani sinang: faylni oching, dasturdan foydalaning va kerakli qayta yo'naltirishni tasdiqlang. Tashqaridan masofaviy ish stoliga kirish bo'yicha Microsoft qo'llanmasi qo'llab-quvvatlanadigan ochish variantlarini tavsiflaydi va bosim ostida qo'shilgan ommaviy tinglovchidan yaxshiroq manbadir.