Брандмауэр Windows отклоняет соединения, если не включено ведение журнала
Из Windows Mystery Caves:
пользователь, пытающийся получить доступ к узлу сеанса удаленного рабочего стола Windows Server 2008 R2, получает время ожидания сети при попытках установления соединения. Исключение удаленного рабочего стола было включено и ограничено (среди других подсетей) удаленной подсетью. 192.168.202.0/23. IP-адрес хоста пользователя 192.168.203.63. Журнал брандмауэра не содержит записей о сброшенных попытках подключения с этим IP-адресом.
Если я изменю параметры ведения журнала брандмауэра Windows для профиля домена и включу регистрацию успешных попыток, подобных этой,
соединения начинают успешно устанавливаться и регистрируются с записью «РАЗРЕШИТЬ» в журнале брандмауэра. Отключение регистрации успешных попыток снова прерывает установление соединения пользователя. Компьютер другого пользователя с IP-адресом хоста 192.168.203.71 кажется незатронутым и может инициировать соединения даже при отключенном ведении журнала.
WTH? Что именно изменяется в настройках ведения журнала, кроме фактического включения ведения журнала?
Похоже, это просто совпадение или побочный эффект. После анализа тайм-аутов соединения с использованием сетевых трассировок со стороны клиента стало ясно, что основной причиной был общий тайм-аут согласования 60 секунд на клиенте. Кажется, что часы тайм-аута ожидают завершения подтверждения TLS, а также рукопожатия x.204, и срок его действия неоднократно истек.
Причиной этого была неспособность клиента получить текущий список отзыва сертификатов для CA сертификата сервера из-за того, что клиенту разрешен доступ в Интернет только через прокси. Выбранный метод настройки прокси-сервера PAC на данном сайте, и очевидно, что метод обновления CRL не поддерживает PAC. Он пытается установить прямое соединение или получить информацию о прокси через WPAD вместо этого оба имеют собственные таймеры тайм-аута и в сумме составляют более 60 секунд, в результате чего вся попытка подключения к удаленному рабочему столу не выполняется. Обходной путь состоял в том, чтобы вручную настроить прокси в IE. настройки интернета.
Я понятия не имею, почему у меня есть корреляция с включением / отключением ведения журнала брандмауэра для сбоев соединения.
Попробуйте снизить параметры безопасности для подключения к удаленному рабочему столу на Панель управления - Система и безопасность - (раздел Система) Разрешить удаленный доступ. Открывает окна Свойства системы на вкладке Удаленный. В нижней части окна находится группа Удаленного рабочего стола, где вы можете установить уровень безопасности удаленного рабочего стола. Пробовать Измени это из Разрешить подключения только с компьютеров, на которых запущен удаленный рабочий стол с проверкой подлинности на уровне сети (более безопасный) к Разрешить подключения с компьютеров, на которых запущена любая версия удаленного рабочего стола (менее безопасна)