Brak wyjątku dla RDP w firewallu

Brak wyjątku dla RDP w firewallu blokuje przychodzące połączenia Pulpitu zdalnego — trzeba dodać regułę dla portu TCP 3389 lub włączyć wbudowaną regułę „Pulpit zdalny” w Zaporze Windows.

Brak wyjątku dla RDP w firewallu — na czym polega problem

Brak wyjątku dla RDP w firewallu oznacza, że usługa Pulpitu zdalnego może działać w systemie, lecz zapora sieciowa odrzuca połączenia przychodzące kierowane do tego komputera. W takiej sytuacji komputer pozostaje niewidoczny dla użytkownika próbującego nawiązać sesję zdalną, mimo że system jest uruchomiony, konto ma odpowiednie uprawnienia, a funkcja Pulpitu zdalnego została wcześniej aktywowana. Z zewnątrz może to wyglądać jak awaria RDP, błąd uwierzytelniania albo niedostępność urządzenia, chociaż rzeczywista przyczyna znajduje się w konfiguracji zapory.

Zapora Windows filtruje ruch według reguł określających między innymi kierunek połączenia, protokół, profil sieci oraz program lub port, którego dotyczy komunikacja. Jeżeli nie istnieje dopasowana reguła zezwalająca na ruch związany z Pulpitem zdalnym, pakiety inicjujące sesję mogą zostać zablokowane. Dotyczy to szczególnie zmian wykonanych po aktualizacji systemu, przywróceniu ustawień zapory, dołączeniu komputera do innej sieci albo zastosowaniu zaostrzonych zasad bezpieczeństwa.

W praktyce nie chodzi wyłącznie o sam numer portu. Znaczenie ma również to, czy reguła została włączona dla właściwego profilu sieciowego, na przykład prywatnego lub publicznego, oraz czy zezwolenie obowiązuje dla połączeń przychodzących. W systemie mogą występować osobne reguły dla różnych wersji protokołu IP, a ich stan może być niezależny. Dlatego samo sprawdzenie, czy istnieje wpis o nazwie związanej z Pulpitem zdalnym, nie zawsze wystarcza do potwierdzenia prawidłowej konfiguracji.

Jak firewall współpracuje z usługą Pulpitu zdalnego

RDP, czyli Remote Desktop Protocol, służy do przesyłania obrazu pulpitu, danych wejściowych oraz informacji potrzebnych do obsługi sesji na odległym komputerze. Aby połączenie mogło dojść do skutku, muszą jednocześnie działać: usługa Pulpitu zdalnego, odpowiednio skonfigurowane konto użytkownika, dostępność urządzenia w sieci oraz reguły zezwalające na ruch przychodzący. Firewall jest jednym z elementów tej układanki i może zatrzymać komunikację jeszcze zanim system zacznie sprawdzać dane logowania.

Najczęściej wykorzystywany jest port TCP 3389, jednak sama obecność otwartego portu nie przesądza o bezpieczeństwie ani o poprawnym działaniu całego rozwiązania. Reguła zapory może być ograniczona do określonych adresów, interfejsów sieciowych lub profili. Może też zostać wyłączona przez administratora, oprogramowanie ochronne albo politykę systemową. W niektórych konfiguracjach używany jest także transport UDP, dlatego przy analizie problemu warto sprawdzić pełny zestaw reguł przypisanych do Pulpitu zdalnego, a nie tylko pojedynczy wpis dotyczący TCP.

Włączenie wbudowanej grupy reguł dla Pulpitu zdalnego jest zwykle czytelniejszym rozwiązaniem niż ręczne tworzenie przypadkowego wyjątku. Pozwala zachować powiązanie między usługą a zaporą oraz ograniczyć ryzyko pominięcia jednego z wymaganych wariantów komunikacji. Jednocześnie reguła powinna być aktywna wyłącznie w zakresie odpowiadającym rzeczywistemu zastosowaniu. Udostępnianie RDP w sieci publicznej bez dodatkowych zabezpieczeń zwiększa powierzchnię ataku, dlatego należy rozważyć ograniczenie dostępu do zaufanej sieci, określonych adresów albo bezpiecznego kanału pośredniczącego.

Podczas porównywania konfiguracji warto odróżnić blokadę na komputerze docelowym od ograniczenia występującego po drodze. Jeżeli test z tej samej sieci działa, a połączenie z innej lokalizacji nie, przyczyna może dotyczyć routera, translacji adresów, filtracji po stronie dostawcy lub dodatkowych zasad bezpieczeństwa. Jeżeli natomiast nie działa także połączenie lokalne, większe znaczenie ma stan usługi, zapory, profilu sieciowego oraz uprawnień użytkownika.

Typowe objawy i błędy konfiguracji - Brak wyjątku dla RDP w firewallu

Najbardziej charakterystycznym objawem jest komunikat o braku możliwości połączenia z komputerem zdalnym, przekroczeniu czasu oczekiwania albo niedostępności hosta. Czasami okno logowania w ogóle się nie pojawia. W innych przypadkach ekran uwierzytelniania jest widoczny, lecz sesja zostaje przerwana przed załadowaniem pulpitu. Sam komunikat nie wskazuje jednoznacznie na firewall, ponieważ podobne zachowanie może powodować wyłączona usługa, błędny adres, brak trasy sieciowej, konflikt z zasadami zabezpieczeń lub uśpienie urządzenia.

Częstym błędem jest włączenie Pulpitu zdalnego w ustawieniach systemu bez aktywowania odpowiadających mu reguł zapory. Do podobnej sytuacji może dojść po ręcznym wyłączeniu zapory i jej późniejszym ponownym uruchomieniu, po zmianie profilu sieciowego albo po przywróceniu domyślnych zasad. Warto również sprawdzić, czy reguły nie zostały wyłączone tylko dla aktualnie używanego profilu. Komputer działający wcześniej w sieci prywatnej może po podłączeniu do nowej sieci zostać sklasyfikowany jako publiczny, co zmieni zakres obowiązywania zezwoleń.

Innym problemem bywa utworzenie zbyt szerokiej reguły otwierającej port bez ograniczenia źródeł ruchu. Takie ustawienie może rozwiązać chwilowy problem z połączeniem, ale jednocześnie niepotrzebnie wystawia usługę na próby logowania. Niewłaściwe jest także usuwanie wszystkich reguł zapory w celu sprawdzenia, czy to ona blokuje RDP. Bezpieczniejsza diagnostyka polega na kontrolowanym sprawdzeniu stanu właściwej grupy reguł, profilu sieciowego, nasłuchiwania usługi i dzienników zapory.

Przydatne jest rozdzielenie testów na kilka etapów. Najpierw można ustalić, czy komputer odpowiada w sieci i czy właściwy port jest osiągalny z urządzenia, z którego wykonywane jest połączenie. Następnie należy sprawdzić, czy usługa Pulpitu zdalnego nasłuchuje oraz czy reguła przychodząca dopuszcza komunikację. Na końcu analizuje się logowanie, członkostwo konta w grupie uprawnionej do korzystania z RDP i ewentualne zasady ograniczające dostęp. Taka kolejność zmniejsza ryzyko przypisania winy zaporze, gdy problem znajduje się w innym miejscu.

Warto pamiętać, że po zmianie reguł nie zawsze następuje natychmiastowa poprawa. Czasem konieczne jest ponowne uruchomienie usługi, odświeżenie zasad albo wykonanie testu z właściwego segmentu sieci. Jeżeli konfiguracją zarządza polityka organizacyjna, lokalna zmiana może zostać nadpisana przy kolejnym odświeżeniu. W takim przypadku potrzebna jest weryfikacja źródła ustawień, a nie tylko ponowne włączanie tej samej reguły.

Kiedy najlepiej skorzystać z pomocy serwisu - Brak wyjątku dla RDP w firewallu

Zgłoszenie do serwisu jest uzasadnione, gdy nie można ustalić, czy blokada wynika z zapory, usługi RDP, profilu sieciowego czy urządzeń pośredniczących. Pomoc przydaje się również wtedy, gdy po włączeniu reguły połączenie nadal nie działa, działa tylko w jednej sieci albo okresowo traci dostęp. W takich przypadkach potrzebne jest prześledzenie całej drogi komunikacji, sprawdzenie logów oraz ocena, czy konfiguracja zapewnia właściwy poziom ochrony.

W Warszawie takie zgłoszenie można skierować do serwisu laptopów i komputerów PC działającego pod nazwą Warszawskie Pogotowie Komputerowe 24/7. Przy przyjmowaniu urządzenia można opisać dokładny moment wystąpienia problemu, używany profil sieci, lokalizację komputera oraz to, czy połączenie ma być realizowane wyłącznie w sieci lokalnej, czy także z zewnątrz. Ułatwia to odtworzenie warunków błędu i ogranicza ryzyko wprowadzania niepotrzebnych zmian w zaporze.

Podczas diagnostyki można sprawdzić stan reguł dla Pulpitu zdalnego, aktywny profil sieciowy, nasłuchiwanie właściwego portu, działanie usługi, uprawnienia konta oraz wpisy w dziennikach zabezpieczeń. W razie potrzeby analizuje się także ustawienia routera i dodatkowych programów ochronnych. Celem nie powinno być samo otwarcie portu, lecz uzyskanie kontrolowanego dostępu zgodnego z zakresem, w jakim RDP ma być wykorzystywany.

Przed zgłoszeniem warto przygotować nazwę komputera lub jego adres w sieci, treść komunikatu błędu, informację o ostatnich aktualizacjach oraz dane dotyczące urządzenia, z którego wykonywana jest próba połączenia. Nie należy przesyłać haseł ani wyłączać trwale zapory tylko po to, aby ominąć problem. W przypadku laptopa można skorzystać z darmowej diagnozy LAPTOPA, dzięki której łatwiej ustalić, czy przyczyną jest pojedyncza reguła zapory, czy szersza usterka konfiguracji systemowej i sieciowej.