Brak dostępu do portu RDP przez NAT

Brak dostępu do portu RDP przez translację adresów NAT wymaga poprawnego przekierowania portu 3389 na routerze do adresu lokalnego komputera docelowego.

Na czym polega brak dostępu do portu RDP przez NAT

Brak dostępu do portu RDP przez NAT oznacza, że połączenie z pulpitem zdalnym nie dociera do właściwego komputera znajdującego się w sieci lokalnej. RDP, czyli Remote Desktop Protocol, służy do zdalnego wyświetlania pulpitu Windows oraz przekazywania poleceń klawiatury i myszy. Gdy komputer docelowy korzysta z prywatnego adresu IP, nie jest bezpośrednio widoczny z internetu. Router pełni wtedy rolę pośrednika, który musi rozpoznać przychodzące żądanie i przekazać je do odpowiedniego urządzenia wewnątrz sieci.

Samo włączenie pulpitu zdalnego w systemie nie wystarcza do pracy spoza domu lub biura. Potrzebna jest spójna konfiguracja kilku elementów: adresu urządzenia docelowego, reguły przekierowania na routerze, zapory systemowej, adresu publicznego oraz sposobu uwierzytelniania użytkownika. Jeśli jeden z tych składników wskazuje inne urządzenie albo blokuje ruch, połączenie może kończyć się komunikatem o przekroczeniu czasu oczekiwania, odrzuceniu połączenia lub braku odnalezienia komputera.

W typowym układzie router odbiera ruch kierowany na publiczny adres IP i określony port, a następnie przekazuje go do lokalnego adresu komputera. Reguła NAT powinna wskazywać właściwe urządzenie oraz właściwy protokół. Połączenie może być również blokowane przez dostawcę internetu, szczególnie wtedy, gdy zastosowano wielopoziomową translację adresów, a abonent nie otrzymał własnego publicznego adresu IPv4.

Rola przekierowania portów, adresacji i zapory

Najczęstszym punktem kontroli jest konfiguracja przekierowania portu na routerze. Ruch przychodzący z internetu musi zostać skierowany na aktualny adres lokalny komputera z uruchomioną usługą pulpitu zdalnego. Jeżeli komputer pobiera adres automatycznie z DHCP, adres ten może się zmienić po ponownym uruchomieniu urządzenia lub routera. W takiej sytuacji wcześniej działająca reguła NAT zaczyna prowadzić do innego urządzenia albo do nieistniejącego już adresu.

Pomocne jest przypisanie komputerowi stałego adresu lokalnego lub rezerwacji DHCP. Nie należy jednak zakładać, że dowolny adres wpisany ręcznie będzie prawidłowy. Musi on należeć do właściwej podsieci, nie może kolidować z innym urządzeniem i powinien być zgodny z bramą domyślną oraz konfiguracją DNS. W większej sieci trzeba także ustalić, który router faktycznie otrzymuje połączenie z internetu. Przy dwóch urządzeniach wykonujących NAT konieczne może być przeanalizowanie obu poziomów translacji albo zastosowanie odpowiedniego trybu pracy jednego z nich.

Drugim miejscem wymagającym sprawdzenia jest zapora systemu Windows. Usługa RDP może być aktywna, a mimo to reguła zapory może zezwalać na dostęp wyłącznie z sieci prywatnej lub z określonego zakresu adresów. Znaczenie ma również profil sieciowy oznaczony jako publiczny, prywatny albo domenowy. Zbyt szerokie otwarcie usługi zwiększa ryzyko nieautoryzowanych prób logowania, dlatego reguły powinny być ograniczone do potrzebnego zakresu, a dostęp użytkowników powinien być kontrolowany.

Nie każdy problem leży po stronie routera. Operator może stosować CGNAT, czyli wspólne udostępnianie jednego publicznego adresu wielu abonentom. W takim przypadku przekierowanie portu na domowym routerze nie wystarczy, ponieważ urządzenie nie otrzymuje pełnej kontroli nad adresem widocznym w internecie. Rozpoznanie sytuacji wymaga porównania adresu WAN wyświetlanego w panelu routera z adresem widzianym z zewnętrznej sieci. Niezgodność może wskazywać na dodatkową warstwę translacji lub brak publicznego adresu.

Typowe przyczyny i objawy nieudanego połączenia

Jednym z częstych błędów jest przekierowanie ruchu do niewłaściwego komputera. Dzieje się tak, gdy w sieci znajduje się kilka laptopów lub komputerów stacjonarnych, a reguła NAT została utworzona na podstawie starej listy urządzeń. Podobny skutek pojawia się po wymianie karty sieciowej, zmianie konfiguracji DHCP albo przywróceniu ustawień routera. Z zewnątrz może być widoczny otwarty port, lecz usługa na wskazanym urządzeniu nie odpowiada.

Inną przyczyną jest wyłączona usługa pulpitu zdalnego, nieobsługiwana edycja systemu Windows albo ograniczenie wynikające z lokalnych zasad bezpieczeństwa. Trzeba również sprawdzić, czy komputer nie przechodzi w stan uśpienia, nie traci połączenia z siecią i czy usługa nasłuchuje na oczekiwanym porcie. Zmiana portu może ograniczyć część automatycznych skanów, ale sama w sobie nie rozwiązuje problemu z NAT. Po takiej zmianie należy zaktualizować zarówno regułę routera, jak i ustawienia zapory oraz sposób nawiązywania połączenia.

Objaw „brak odpowiedzi” zwykle wskazuje na problem z osiągalnością urządzenia, przekierowaniem, zaporą albo adresem publicznym. Komunikat o błędnych danych logowania pojawia się dopiero wtedy, gdy połączenie dociera do usługi, dlatego oba przypadki nie powinny być diagnozowane w ten sam sposób. Warto przeprowadzać test z innej sieci, na przykład przez transmisję danych telefonu, ponieważ sprawdzanie publicznego adresu z tej samej sieci lokalnej może dawać mylące wyniki. Niektóre routery nie obsługują poprawnie dostępu do własnego publicznego adresu od strony LAN.

Bezpośrednie wystawienie RDP do internetu wymaga ostrożności. Należy używać silnych, unikatowych haseł, ograniczyć liczbę kont uprawnionych do logowania, włączyć uwierzytelnianie na poziomie sieci i aktualizować system. W zależności od zastosowania bezpieczniejszym rozwiązaniem może być tunel VPN, przez który komputer pozostaje dostępny wyłącznie dla urządzeń należących do zaufanej sieci. W środowiskach, w których nie ma możliwości uzyskania publicznego adresu, można rozważyć dostęp przez centralną bramę VPN zamiast klasycznego przekierowania portu.

Kiedy najlepiej zlecić diagnozę specjalistom - Brak dostępu do portu RDP przez NAT

Zgłoszenie do serwisu jest uzasadnione, gdy podstawowe sprawdzenie ustawień nie wskazuje jednoznacznej przyczyny, w sieci występuje kilka routerów, operator stosuje CGNAT albo potrzebne jest połączenie bezpieczne dla pracy zdalnej. Pomoc może obejmować rozpoznanie topologii sieci, ustalenie właściwego adresu urządzenia, weryfikację reguł NAT i zapory, test z zewnętrznej sieci oraz sprawdzenie, czy usługa RDP działa lokalnie przed rozpoczęciem testów internetowych.

W Warszawie takie czynności może przeprowadzić Warszawskie Pogotowie Komputerowe 24/7, przy czym w przypadku problemów dotyczących laptopa dostępna jest darmowa diagnoza LAPTOPA. W ramach analizy można oddzielić awarię samego komputera od błędu konfiguracji routera, ograniczeń operatora lub nieprawidłowych zasad bezpieczeństwa. Pozwala to uniknąć przypadkowego zmieniania wielu ustawień naraz i ułatwia dobranie rozwiązania odpowiedniego do sposobu korzystania z pulpitu zdalnego.

Przed przekazaniem zgłoszenia warto przygotować model routera, sposób dostępu do internetu, informację o liczbie urządzeń wykonujących NAT, lokalny adres komputera docelowego oraz dokładny komunikat wyświetlany przy próbie połączenia. Przydatna jest także informacja, czy RDP działa z innego komputera w tej samej sieci i czy problem występuje wyłącznie poza domem lub biurem. Takie dane skracają diagnostykę i ułatwiają ocenę, czy przyczyną jest konfiguracja systemu, infrastruktura sieciowa, adresacja publiczna czy ograniczenie po stronie dostawcy internetu.