Brak dostępu do pulpitu zdalnego przez IPv4

Brak dostępu do pulpitu zdalnego przez adres IPv4 wymaga sprawdzenia, czy port 3389 nie jest blokowany przez zaporę sieciową po stronie serwera lub sieci pośredniej.

Czym jest brak dostępu do pulpitu zdalnego przez IPv4

Brak dostępu do pulpitu zdalnego przez IPv4 oznacza, że połączenie RDP nie zostaje prawidłowo zestawione pomiędzy urządzeniem, z którego wykonywana jest próba logowania, a komputerem docelowym. Może pojawić się komunikat o niedostępności komputera, przekroczeniu limitu czasu oczekiwania, odrzuceniu połączenia albo błędnych danych logowania, mimo że adres IPv4 został wpisany poprawnie.

W praktyce nie zawsze oznacza to awarię samego pulpitu zdalnego. Problem może powstać na dowolnym odcinku połączenia: na komputerze docelowym, w jego zaporze systemowej, na routerze, w sieci lokalnej, u operatora internetowego albo w konfiguracji urządzenia, z którego nawiązywane jest połączenie. Konieczne jest więc ustalenie, czy komputer jest osiągalny, czy usługa pulpitu zdalnego działa i czy ruch z używanego adresu IPv4 może dotrzeć do właściwego urządzenia.

Adres prywatny, na przykład używany w sieci lokalnej, działa inaczej niż publiczny adres IPv4 dostępny z Internetu. Próba połączenia z adresem prywatnym spoza danej sieci zwykle nie powiedzie się bez odpowiedniej konfiguracji routingu lub bezpiecznego tunelu. Z kolei przy adresie publicznym wymagane jest prawidłowe przekierowanie ruchu do konkretnego komputera oraz ograniczenie dostępu w taki sposób, aby nie wystawiać niepotrzebnie usługi na zagrożenia zewnętrzne.

Kontekst techniczny i porównanie sposobów połączenia - Brak dostępu do pulpitu zdalnego przez IPv4

Pulpit zdalny korzysta z protokołu RDP, który w typowej konfiguracji oczekuje połączeń na porcie 3389. Samo otwarcie tego portu nie gwarantuje jednak działania usługi. Komputer docelowy musi być uruchomiony, podłączony do sieci, mieć włączoną funkcję zdalnego dostępu, a konto użytkownika musi posiadać uprawnienia do logowania przez pulpit zdalny. W nowszych konfiguracjach znaczenie ma również uwierzytelnianie na poziomie sieci oraz zgodność ustawień zabezpieczeń obu urządzeń.

W sieci lokalnej połączenie może być kierowane bezpośrednio na adres prywatny komputera. Przy dostępie z Internetu potrzebny jest publiczny adres IPv4 oraz reguła translacji adresów na routerze. Reguła ta powinna wskazywać właściwy komputer, właściwy port i właściwy protokół. Jeżeli operator stosuje współdzielenie adresów, tak zwany CGNAT, połączenie przychodzące może być niemożliwe do przekierowania bez dodatkowej usługi lub innego sposobu dostępu.

Przydatne jest porównanie kilku metod sprawdzania dostępności:

• test odpowiedzi ICMP, który pokazuje, czy urządzenie odpowiada na żądania, ale nie potwierdza działania RDP,
• sprawdzenie konkretnego portu TCP, które pozwala ocenić, czy ruch dociera do usługi,
• próba połączenia z tej samej sieci lokalnej, pomagająca odróżnić problem routera od problemu komputera,
• próba z innego łącza internetowego, wskazująca, czy ograniczenie występuje po stronie używanej sieci,
• analiza dzienników zapory i systemu, która może ujawnić odrzucane połączenia lub błędy uwierzytelniania.

Bezpieczniejszym rozwiązaniem niż bezpośrednie wystawienie RDP do Internetu bywa połączenie przez VPN, zdalny pulpit pośredniczący albo inną kontrolowaną bramę dostępową. Wybór metody zależy od układu sieci, rodzaju routera, wymagań dotyczących bezpieczeństwa oraz tego, czy dostęp ma być możliwy tylko z określonych lokalizacji.

Typowe problemy i błędy powodujące odrzucenie połączenia - Brak dostępu do pulpitu zdalnego przez IPv4

Jedną z częstszych przyczyn jest nieprawidłowy adres IPv4. Adres publiczny może się zmieniać po ponownym połączeniu routera, natomiast adres prywatny komputera może zostać przydzielony ponownie przez DHCP. W takiej sytuacji wcześniej działające przekierowanie zaczyna wskazywać inne urządzenie albo przestaje prowadzić do komputera docelowego. Pomocne może być przypisanie stałego adresu lokalnego lub rezerwacji DHCP.

Połączenie może być blokowane przez Zaporę systemu Windows, dodatkowe oprogramowanie ochronne albo reguły ustawione na routerze. Czasami reguła zezwalająca obejmuje wyłącznie profil sieci prywatnej, podczas gdy aktywny jest profil publiczny. Innym błędem bywa zezwolenie na usługę RDP tylko dla określonego zakresu adresów, który nie obejmuje aktualnego urządzenia klienckiego.

Należy również sprawdzić, czy usługa pulpitu zdalnego działa, czy komputer nie znajduje się w trybie uśpienia oraz czy nie został odłączony od sieci. Jeżeli urządzenie odpowiada na ping, nie oznacza to jeszcze, że port RDP jest dostępny. Możliwa jest sytuacja, w której zapora przepuszcza ICMP, lecz odrzuca połączenia TCP przeznaczone dla pulpitu zdalnego.

Problemy mogą dotyczyć także uwierzytelniania. Błędna nazwa konta, nieaktualne hasło, wyłączone konto, brak uprawnień do zdalnego logowania albo wymóg uwierzytelniania na poziomie sieci mogą powodować odrzucenie sesji po nawiązaniu kontaktu z komputerem. W takim przypadku sam test portu może wypaść pozytywnie, lecz logowanie nadal będzie niemożliwe.

Warto zweryfikować również trasę pakietów i konfigurację kilku urządzeń sieciowych. Podwójny NAT, niepoprawnie ustawiony router nadrzędny, filtracja ruchu przez dostawcę Internetu, konflikt adresów lub błędna maska podsieci mogą uniemożliwić dotarcie do komputera. Zmiana numeru portu może ograniczyć automatyczne skanowanie, ale nie zastępuje zapory, silnego uwierzytelniania i ograniczenia źródeł dostępu.

Kiedy najlepiej poprosić o ocenę stanu sprzętu - Brak dostępu do pulpitu zdalnego przez IPv4

Do serwisu warto zgłosić problem wtedy, gdy połączenie przez IPv4 przestało działać po zmianie routera, dostawcy Internetu, systemu operacyjnego lub ustawień zapory, a podstawowe sprawdzenie adresu i połączenia nie wskazuje jednoznacznej przyczyny. Pomoc może być potrzebna również wtedy, gdy dostęp działa z sieci lokalnej, lecz nie działa z Internetu, albo gdy port wydaje się otwarty, ale sesja kończy się błędem uwierzytelniania.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się diagnostyką problemów z laptopami i komputerami, a w przypadku laptopa diagnoza jest wykonywana bezpłatnie. Podczas sprawdzania można przeanalizować ustawienia IPv4, działanie usługi RDP, reguły zapory, konfigurację routera, przekierowanie portów, tablice adresowe oraz uprawnienia konta użytkownika.

Przed przekazaniem urządzenia warto przygotować informacje o tym, czy połączenie ma działać w sieci lokalnej czy spoza niej, jaki komunikat pojawia się podczas logowania, czy adres IPv4 jest stały oraz czy ostatnio zmieniano router albo operatora. Przydatne może być także wskazanie, z jakiego urządzenia wykonywana jest próba połączenia i czy inne usługi sieciowe działają prawidłowo.

Po przywróceniu dostępu należy ponownie ocenić bezpieczeństwo konfiguracji. Zalecane jest ograniczenie źródeł połączeń, stosowanie silnych haseł, wyłączenie nieużywanych reguł przekierowania oraz rozważenie dostępu przez VPN. Dzięki temu usunięcie bieżącego błędu nie będzie polegało wyłącznie na otwarciu kolejnego portu, lecz na uporządkowaniu całej ścieżki komunikacji między użytkownikiem a komputerem docelowym.