Проброс RDP через шлюз на Win 2003

[6wings]

Ещё один штришок к вышеизложенному:
При пробросе порта на шлюзе 2003, для локальной машины к которой нужен RDP доступ лучше указывать её IP адрес, а не её имя в LAN. Имя может не отрезольвиться, хотя сам шлюз видит её в локальной сети по имени. Т.е., если лок. машина получает сетевые параметры по DHCP, проброс по имени может не прохилять.

Updated: 27 January 2021, 12:32:18

См. Rsop.msc на терминале.
Возможно накрутили политики безопасности в allow logon through terminal или где-то рядом

Спасибо ещё раз, но эта локальная машина если и накручена, то по умолчанию с момента установки. Я лично на ней ничего в настройках дистанционного доступа не правил (до текущего момента, добавляя пользователей) - только разрешал сам доступ "отовсюду". К тому же, серверы в локальной сети под 2008R2 ведут себя точно так же т.е. там та же проблема.

[Dr.Night]

При пробросе порта на шлюзе 2003, для локальной машины к которой нужен RDP доступ лучше указывать её IP адрес, а не её имя в LAN. Имя может не отрезольвиться, хотя сам шлюз видит её в локальной сети по имени.

Вангомоде он.
DNS прова или 8.8.8.8 на внешнем интерфейсе ? 

[6wings]

DNS прова или 8.8.8.8 на внешнем интерфейсе ?

DNS кэширующий на соседнем компе в той же LAN (ещё один такой же вирт. шлюз на 2003 к другому прову, его адрес в лок. сети 192.168.0.251) и он указан первым на том шлюзе, о котором шла речь выше (192.168.0.250), вторым DNS указан 1.1.1.1, сеть одноранговая, master browser жестко закреплён на самбе под Дебиан и работает безупречно - всем всегда всех видно, никто никогда не пропадает, перевыборы всем остальным компам запрещены в их реестрах.
Вроде, самба резольвит IP по локальным именам нормально.

Прикол в том, что при пробросах на шлюзе некоторые имена в локальной сети иногда резольвятся нормально, а иногда нет. Я это давно замечал и объяснения у меня этому нет. Внутри локальной сети (без шлюза) можно коннектиться по RDP хоть по имени, хоть по IP - всё работает. А шлюз резольвит локальные имена как-то нестабильно. Возможно, потому, что у него 2 сетевых интерфейса и он лезет то по одному, то по другому?

[Retif]

DNS кэширующий на соседнем компе в той же LAN (ещё один такой же вирт. шлюз на 2003 к другому прову, его адрес в лок. сети 192.168.0.251) и он указан первым на том шлюзе, о котором шла речь выше (192.168.0.250), вторым DNS указан 1.1.1.1,

иногда резольвятся нормально, а иногда нет

Оставь один, локальный и на нем настрой пересылку на публичные (тот же 1.1.1.1, 8.8.8.8 и т.п. И рут хинты, если эти недоступны галку).

[6wings]

Ё-ёёёё, а ведь, точно - посмотрел настройки внешнего интерфейса шлюза, и там первым ДНС указан 1.1.1.1, а вторым уже локальный.
Невнимательность, ###ыть.
Dr.Night, угадал - прям как в воду смотрел ))

[Dr.Night]

он указан первым на том шлюзе, о котором шла речь выше (192.168.0.250), вторым DNS указан 1.1.1.1,

В Винде DNS работает так:
 собирается список всех DNS на всех интерфейсах в порядке приоритета и идет попытка резолвинга.
Первый не работает - резолвит второй, потом третий и т.д.
Тот, на котором остановились объявляется рабочим.

В результате после включения сервер резолвит все нормально. Но как только внутренний DNS не ответит, например, при ребуте DNS или сбое внутренней сети, резолвинг переключается на второй DNS 1.1.1.1.
И будет на нем до тех пор, пока он тоже не ответит (например при падении инета) или до перезагрузки шлюза.
Не ответит, это именно - не ответит вообще ничего. Потому, как на вопрос "compname.mydomain.local" 1.1.1.1 отвечает "нет такого, бля буду", что является валидным ответом.
Да, та самая "магическая перезагрузка", которая лечит "глюки Винды". 

Причем командой nslookup ты это не проверишь, т.к. эта команда запрашивает резолвинг не через внутреннюю систему винды, а самостоятельно, через первый попавшийся DNS на интерфейсе.


Updated: 27 January 2021, 13:42:20

Ё-ёёёё, а ведь, точно - посмотрел настройки внешнего интерфейса шлюза, и там первым ДНС указан 1.1.1.1, а вторым уже локальный.

Для Винды без разницы, на каком интерфейсе DNS указан.
Она не знает, какой интерфейс с твоей точки зрения внешний, какой внутренний. И куда резолвить ya.ru.
Вот после того, как отрезолвила, по таблице маршрутизации понятно, куда траффик слать. А до - хз.
В линуксе это более прозрачно реализовано путем использования независимого от интерфейсов resolv.conf

[6wings]

Dr.Night, насчёт динамического жёсткого перезакрепления ДНС на первом работающем и о том, что без разницы на каких интерфейсах они перечислены я не знал, спасибо большое.
Тут и совет от Саши в жилу - оставить один единственный. Щас попробую.

[Retif]

6wings, не забудь только своему локальному DNS-серверу в интернет доступ открыть по 53-му порту UDP и TCP.

[6wings]

Retif, открыт у него 53 порт. Оставил этот 192.168.0.251 единственным ДНС сервером на шлюзе. Но всё равно локальные имена не резольвятся. Надо, видимо, поднимать полноценный ДНС сервер, а не использовать кэширующий.

Ещё не очень понятно, каким образом в одноранговой сети локальные имена, отрезольвенные мастер браузером в локальные IP, попадут в шлюз? Точнее, каким образом локальные имена и их IP из мастер браузера должны попадать в локальный ДНС сервер?

[Retif]

Retif, открыт у него 53 порт. Оставил этот 192.168.0.251 единственным ДНС сервером на шлюзе. Но всё равно локальные имена не резольвятся. Надо, видимо, поднимать полноценный ДНС сервер, а не использовать кэширующий.

Ну кагбе да. Шлюз спрашивает у локального DNS-сервера (указанного у него на интерфейсе) такое-то имя,  какой у него IP-шник? DNS-сервер смотрит свои зоны, что у него там? А у него там ничего, потому что он кэширующий и у него вообще зон-то никаких нет.

Ещё не очень понятно, каким образом в одноранговой сети локальные имена, отрезольвенные мастер браузером в локальные IP, попадут в шлюз? Точнее, каким образом локальные имена и их IP из мастер браузера должны попадать в локальный ДНС сервер?

Забудь про мастер-браузер, как страшный сон уже. И оснастку Сетевое окружение туда же.

Ну клиентах укажи в качестве DNS-сервера (после его настройки) свой локальный DNS-сервер, на DNS-сервере настрой форвардинг (пересылку) на публичные DNS-серверы.

[Dr.Night]

А локальная DNS-зона есть вообще или все имена короткие?

[DedMagarbI4]

Я добавил Administrator (и Administrators на всякий случай) и успешно залогинился по RDP как Administrator.

вот кстати тоже подобное замечал, потому всегда добавляю явно пользаков по RDP. 

[6wings]

А локальная DNS-зона есть вообще или все имена короткие?

Я не знаю точно того, как устроен кэширующий ДНС в 2003 и прямых средств управления им не имею (не нашёл в системе), но удобство в нём есть как минимум одно и несомненное - он автоматом подхватывает файл hosts, лежащий на этом же шлюзе рядом с ним, и включает его в свой кэш при каждом обновлении этого hosts.
Тем самым, мне удобно давать любые символические имена (в т.ч. длинные с точками) своим локальным ресурсам и я могу блокировать нежелательные внешние ресурсы, привязывая их к 127.0.0.1. Причём, это достаточно делать только на нём, если в других компах этот кэширующий сервер прописан в качестве первого.
Т.е. все эти блокировки и разрешения прописываются один раз только в файле hosts кэширующего сервера и действуют для всей локальной сети.
Такая простота мне нравится ))

Updated: 27 January 2021, 16:52:06
DedMagarbI4,  как выяснилось при детальном рассмотрении, надо прописывать не только Administrator, но и Authentificated users. Может, администратора даже и не нужно. Ещё не проверил.

[rjhdby]

Тематика в курилке, алярм! Где модераторов чортъ носит!? 

[6wings]

Тематика в курилке, алярм! Где модераторов чортъ носит!? 

моя логика проста - в Курилке прочитает максимальное кол-во народа ))  А в Сети (или как их там?) лезут только особо софистикатые члены.