Zapora blokuje zdalny pulpit (RDP)

Zapora blokująca zdalny pulpit (RDP) wskazuje na regułę ograniczającą port 3389 — sprawdź reguły przychodzące dla Zdalnego pulpitu.

Zapora blokuje zdalny pulpit (RDP) – czym jest ten problem

Komunikat informujący, że zapora blokuje zdalny pulpit, oznacza zwykle, że połączenie RDP dociera do komputera, ale zostaje zatrzymane przez mechanizm ochronny systemu albo urządzenie znajdujące się wcześniej w sieci. Zdalny pulpit pozwala wyświetlić sesję systemu Windows na innym komputerze i sterować nią tak, jakby praca odbywała się bezpośrednio przy danym stanowisku. Aby taka sesja mogła zostać ustanowiona, muszą współdziałać usługa zdalnego pulpitu, reguły zapory, profil sieciowy, konto użytkownika oraz konfiguracja routera lub zapory sieciowej.

Sam fakt, że komputer odpowiada na część zapytań sieciowych, nie oznacza jeszcze, że RDP będzie dostępny. Zapora może przepuszczać zwykłe udostępnianie plików, przeglądanie stron internetowych albo komunikację z drukarką, a jednocześnie odrzucać połączenia przeznaczone dla zdalnego pulpitu. Ograniczenie może dotyczyć ruchu przychodzącego, określonego profilu sieci, konkretnego interfejsu, zakresu adresów IP albo wyłącznie połączeń uwierzytelnianych w określony sposób.

W typowej konfiguracji zdalny pulpit korzysta z portu TCP 3389, a w niektórych scenariuszach również z transportu UDP. Nie należy jednak traktować samego portu jako pełnej diagnozy. Otworzenie portu nie uruchamia usługi, nie nadaje uprawnień użytkownikowi i nie rozwiązuje problemu z przekierowaniem ruchu na routerze. Zmiana numeru portu także nie zastępuje prawidłowego zabezpieczenia połączenia.

Zapora blokuje zdalny pulpit (RDP) – kontekst techniczny i porównania

Zapora systemowa działa jak zestaw reguł oceniających pakiety przychodzące i wychodzące. Reguła może określać protokół, port, program, adres źródłowy, adres docelowy oraz profil sieci. W systemie Windows najczęściej spotyka się profile: domenowy, prywatny i publiczny. Reguła zezwalająca na zdalny pulpit może być aktywna dla profilu prywatnego, lecz nie dla publicznego. W efekcie połączenie działa w jednej sieci, natomiast przestaje działać po przełączeniu laptopa na inną sieć bezprzewodową.

Warto odróżnić kilka miejsc, w których może powstać blokada. Pierwszym jest komputer docelowy, na którym lokalna zapora odrzuca żądanie. Drugim jest router, gdzie może brakować przekierowania portu albo występować izolacja urządzeń. Trzecim jest zapora operatora lub filtr w sieci firmowej, który ogranicza ruch między podsieciami. Czwartym jest komputer, z którego nawiązywane jest połączenie, ponieważ lokalne zasady bezpieczeństwa mogą blokować klienta RDP. Do tego dochodzą zasady grupy, oprogramowanie ochronne oraz reguły ustalone przez administratora.

Połączenie w tej samej sieci lokalnej różni się od dostępu przez internet. W sieci lokalnej wystarcza zazwyczaj prawidłowy adres komputera, aktywna usługa i odpowiednia reguła zapory. Dostęp z zewnątrz wymaga dodatkowej oceny topologii sieci, translacji adresów, przekierowania ruchu i sposobu uwierzytelniania. Bezpośrednie wystawianie RDP do internetu zwiększa ryzyko prób odgadnięcia hasła oraz wykorzystania błędów w usługach, dlatego bezpieczniejszym rozwiązaniem bywa połączenie przez tunel VPN, bramę zdalnego pulpitu albo inną kontrolowaną warstwę dostępu.

Nie należy utożsamiać niedostępności RDP wyłącznie z zamkniętym portem. Gdy usługa nie działa, komputer jest uśpiony, adres zmienił się po ponownym połączeniu z routerem albo konto nie ma prawa logowania zdalnego, identyczny komunikat może mieć inne źródło. Odpowiedź na test połączenia wskazuje jedynie, czy urządzenie reaguje na ruch, a nie czy użytkownik może poprawnie przejść cały proces logowania.

Zapora blokuje zdalny pulpit (RDP) – typowe problemy i objawy

Jednym z częstych powodów jest wyłączona funkcja zdalnego pulpitu. Wtedy reguły zapory mogą wyglądać poprawnie, ale system nie nasłuchuje na żądania połączeń. Należy sprawdzić, czy funkcja została włączona w ustawieniach systemu oraz czy komputer należy do edycji Windows, która obsługuje przyjmowanie sesji RDP. Nie każda edycja systemu pełni rolę hosta zdalnego pulpitu, dlatego sama obecność aplikacji klienta nie jest wystarczającym potwierdzeniem.

Drugą przyczyną bywa zatrzymana lub nieprawidłowo działająca usługa odpowiedzialna za obsługę sesji. W takim przypadku port może nie odpowiadać, a próby aktywacji reguły zapory nie przyniosą skutku. Przydatne jest sprawdzenie stanu usług, dzienników systemowych i ostatnich zmian konfiguracyjnych. Jeżeli problem pojawił się po aktualizacji, zmianie programu ochronnego lub modyfikacji zasad bezpieczeństwa, te zdarzenia powinny zostać uwzględnione w kolejności diagnozy.

Trzecia grupa problemów wiąże się z profilem sieci. Sieć oznaczona jako publiczna ma z założenia bardziej restrykcyjne ustawienia niż sieć prywatna. Przestawienie profilu bez zrozumienia konsekwencji nie zawsze jest właściwe, zwłaszcza w miejscu, którego nie można uznać za zaufane. Lepszym podejściem jest ograniczenie reguły do właściwego profilu i, jeżeli to możliwe, zawężenie jej do konkretnych adresów źródłowych.

Czwarty problem stanowią uprawnienia. Użytkownik może znać prawidłowe hasło, a mimo to nie mieć prawa do logowania przez usługi pulpitu zdalnego. Ograniczenie może wynikać z członkostwa w grupach, zasad lokalnych, zasad grupy lub blokady konta. Dodatkowo istnieje różnica między możliwością nawiązania sesji a prawem do odblokowania istniejącej sesji. Należy sprawdzić dokładny komunikat, ponieważ błąd zapory, błąd uwierzytelniania i odmowa uprawnień mogą wyglądać podobnie.

Spotykane są również konflikty z oprogramowaniem ochronnym. Niektóre pakiety bezpieczeństwa mają własne moduły zapory i filtrują ruch niezależnie od ustawień systemowych. Wtedy włączenie domyślnej reguły Windows nie wystarczy. Zamiast trwałego wyłączania ochrony należy znaleźć właściwą sekcję wyjątków i ustalić, czy filtrowanie dotyczy aplikacji, portu, sieci czy adresu. Każda zmiana powinna być zapisana, aby można było ocenić jej wpływ i w razie potrzeby przywrócić poprzednią konfigurację.

Zapora blokuje zdalny pulpit (RDP) – praktyczne wskazówki diagnostyczne

Diagnozę najlepiej rozpocząć od ustalenia, czy problem występuje tylko z jednego komputera, czy ze wszystkich urządzeń próbujących połączyć się z hostem. Jeżeli połączenie nie działa z żadnego stanowiska w sieci lokalnej, większe znaczenie ma konfiguracja komputera docelowego, usługi lub zapory. Jeżeli nie działa tylko z jednego urządzenia, trzeba sprawdzić klienta RDP, trasę sieciową, lokalne ograniczenia oraz używany adres.

W pierwszej kolejności należy potwierdzić adres IP komputera docelowego i upewnić się, że nie jest używany stary adres zapisany w skrócie lub nazwie urządzenia. Następnie można sprawdzić podstawową łączność w tej samej sieci. Brak odpowiedzi na testy ICMP nie musi oznaczać awarii, ponieważ zapora może celowo odrzucać takie pakiety. Bardziej miarodajne jest sprawdzenie dostępności właściwego portu z komputera, z którego ma być uruchomiona sesja.

W ustawieniach zapory należy odszukać reguły dotyczące pulpitu zdalnego i sprawdzić ich stan, kierunek ruchu, protokół oraz profil sieci. Warto zwrócić uwagę na reguły o podobnych nazwach, lecz innym zastosowaniu. Aktywacja przypadkowej reguły może nie przynieść efektu albo otworzyć ruch szerzej, niż jest to potrzebne. Bezpieczniej jest dopasować zakres do konkretnej sieci i ograniczyć źródła połączeń, jeżeli środowisko na to pozwala.

Przy dostępie spoza sieci lokalnej trzeba przeanalizować trasę krok po kroku: adres publiczny, urządzenie brzegowe, przekierowanie ruchu, docelowy adres lokalny oraz regułę na komputerze. Zmiana adresu przez dostawcę internetu, podwójna translacja adresów lub filtracja po stronie routera mogą sprawić, że ustawienia hosta są prawidłowe, ale żądanie nie dociera do właściwego urządzenia. Nie powinno się publikować usług zdalnego pulpitu bez planu kontroli dostępu, aktualizacji, silnych haseł i monitorowania prób logowania.

Pomocne bywa przejrzenie dzienników Zapory systemu Windows, dziennika Podglądu zdarzeń oraz logów routera. Należy szukać czasu wystąpienia problemu, adresu źródłowego i informacji o odrzuceniu połączenia. Jeżeli zapisy nie wskazują na dotarcie żądania do komputera, przyczyny trzeba szukać wcześniej na trasie. Jeżeli żądanie jest widoczne, lecz sesja nie powstaje, większe znaczenie mają usługa RDP, uwierzytelnianie i uprawnienia.

Przed zmianą konfiguracji warto utworzyć punkt odniesienia: zanotować aktywne reguły, profil sieci, adres urządzenia i stan usługi. Ułatwia to cofnięcie błędnej modyfikacji oraz porównanie sytuacji przed i po zmianie. Nie zaleca się wyłączania całej zapory na stałe tylko po to, aby potwierdzić hipotezę. Krótki test wykonywany w kontrolowanych warunkach powinien być zastąpiony konkretną regułą, gdy źródło problemu zostanie ustalone.

Zapora blokuje zdalny pulpit (RDP) – kiedy zgłosić się do serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy zdalny pulpit przestał działać po zmianie sieci, aktualizacji, awarii routera lub modyfikacji zasad bezpieczeństwa, a podstawowe sprawdzenie usługi i reguł nie wskazuje jednoznacznej przyczyny. Szczególnej ostrożności wymaga sytuacja, w której dostęp ma być realizowany spoza domu lub biura. Niewłaściwe przekierowanie portu może udostępnić komputer niepowołanym osobom, natomiast zbyt szeroka reguła może naruszyć przyjęte zasady ochrony danych.

W trakcie zgłoszenia warto przekazać informację, czy problem występuje w sieci lokalnej, przez internet, na jednym koncie czy na wszystkich kontach. Przydatne są również dokładne komunikaty, godzina wystąpienia, ostatnie zmiany oraz informacja, czy komputer docelowy pozostaje uruchomiony i nie przechodzi w stan uśpienia. Takie dane skracają drogę do ustalenia, czy potrzebna jest korekta zapory, naprawa usługi, zmiana konfiguracji routera, odtworzenie łączności czy uporządkowanie uprawnień.

W Warszawie pomocą przy problemach z konfiguracją komputerów, sieci i zdalnego dostępu zajmuje się Warszawskie Pogotowie Komputerowe 24/7. Przed rozpoczęciem prac można przygotować listę urządzeń, sposób łączenia oraz informację, czy zdalny pulpit ma być dostępny wyłącznie wewnątrz sieci, czy również poza nią. Po diagnozie powinno zostać jasno opisane, które reguły pozostawiono aktywne, jaki zakres dostępu jest dozwolony i jakie czynności należy wykonać, aby ograniczyć ryzyko ponownego zablokowania usługi.