Cisco Secure Client chặn VPN từ một phiên RDP

Đăng nhập thành công mà đường hầm vẫn không lên. Sự kết hợp này khiến nhiều người bối rối vì họ đọc nó như một sự cố xác thực, rồi dành cả buổi chiều đặt lại thông tin đăng nhập vốn không phải nguyên nhân. Một Cisco Secure Client có thể từ chối thiết lập VPN chính vì lần thử đến từ phiên Remote Desktop, và quyết định đó do chính sách phía máy khách đưa ra.

Điều này xuất hiện ở đâu trong luồng kết nối

Đi qua máy khách từ trên xuống. Hồ sơ được nạp, thông tin đăng nhập được thu thập và xác thực hoàn tất. Sau đó, trước khi bất kỳ đường hầm nào được dựng, máy khách đánh giá các thiết lập phiên và thiết lập kết nối so với môi trường mà nó đang ở.

Ghi lại ba thứ ngay lúc đó: nội dung thông báo chính xác, phiên bản máy khách và tên hồ sơ hiển thị trong máy khách. Ba thứ này biến một lời phàn nàn mơ hồ thành yêu cầu hỗ trợ mà ai đó có thể xử lý. Chụp ảnh màn hình hộp thoại, vì thông báo dài bị cắt trong nhật ký. Ghi cả thời điểm, để quản trị viên đối chiếu với đầu trung tâm.

Thiết lập thực sự quyết định

Chính sách Windows VPN Establishment là kiểm soát liên quan, và nó có hai giá trị được ghi nhận: chỉ người dùng cục bộ, và cho phép người dùng từ xa. Giá trị thứ hai cho phép dựng đường hầm từ phiên Remote Desktop trong một cấu hình được hỗ trợ. Giá trị thứ nhất là thế đứng mặc định trong nhiều hồ sơ doanh nghiệp.

Đừng nhầm nó với Windows Logon Enforcement, mà hướng dẫn hồ sơ ghi nhận là chính sách riêng về phiên đăng nhập. Một cái quy định phiên nào được dựng đường hầm, cái kia quy định hành vi đồng thời hoặc trước khi đăng nhập. Thay đổi sai cái không tạo ra hiệu ứng nào nhìn thấy được.

Đọc hồ sơ thực sự được áp dụng

Trong triển khai được quản lý, máy khách nhận hồ sơ từ đầu trung tâm hoặc từ một vị trí được quản lý, và bản sao được sửa trên đĩa thường không phải bản đang có hiệu lực. Vì thế một thay đổi XML cục bộ có thể trông đúng mà không thay đổi gì.

Hỏi quản trị viên thiết bị nhận hồ sơ và chính sách nhóm nào, chứ không phải hỏi tệp nào có trên laptop. Hai thứ này thường không khớp sau khi nâng cấp phiên bản. Bản sao cũ trong thư mục cục bộ vẫn mở được trong trình soạn thảo và vẫn trông đúng. Nó chỉ đơn giản không phải thứ máy khách đã áp dụng.

Đường RDP sau khi đường hầm lên

Cho phép thiết lập từ xa không bảo đảm phiên Remote Desktop của bạn sống sót. Khi đường hầm thay đổi tuyến hoặc quy tắc truy cập cục bộ, phiên đã đưa bạn vào có thể mất đường đi nuôi nó.

Lập kế hoạch kênh khôi phục trước khi thay đổi: truy cập bảng điều khiển, đường quản trị ngoài băng, hoặc quy trình kết nối lại có ghi chép. Quyết định việc này sau khi xảy ra thường có nghĩa là một chuyến đi đến máy.

Đừng dùng mánh đánh cắp phiên, công cụ điều khiển từ xa thay thế hay mật khẩu viết trong tập lệnh để lách chính sách. Nếu tổ chức không cho phép luồng công việc này, bước đúng là con đường quản trị mà tổ chức hỗ trợ.

Cần gửi gì cho quản trị viên

Cung cấp nội dung thông báo, phiên bản máy khách, tên hồ sơ đang hoạt động, loại phiên bạn đã kết nối, và việc một lần thử từ bảng điều khiển cục bộ có hành xử khác không. Thêm dấu thời gian.

Chính phép so sánh cuối cùng đó tiết kiệm thời gian, vì nó tách một lần từ chối do chính sách phiên khỏi một hỏng hóc trên toàn thiết bị.

Xác minh sau một thay đổi đã được phê duyệt

Sau khi hồ sơ được cập nhật, thiết lập một phiên RDP mới và kết nối lại, rồi chủ động thực hiện trình tự ngắt kết nối. Xác nhận đường hầm lên, đường quản trị sống sót và tài khoản của bạn vẫn đăng nhập được vào màn hình nền.

Được nhận vào VPN, sự sống sót của phiên và quyền đăng nhập Windows là ba kiểm tra riêng biệt. Qua một cái không nói gì về hai cái còn lại.