RDP connectie met ander domein lukt niet

[RobbyTown]

We hebben een RDP koppeling gekregen die een verbinding maakt naar een ander bedrijf. Onderling is er dus geen VPN verbinding of wat dan ook.

Echter werkt de RDP koppeling niet (in elk geval wel deels) we krijgen deze fout melding (in dit geval geeft hij aan dat er op de externe server wat moet worden ingesteld geen idee wat):


Het vreemde is wel. We krijgen de RDP koppeling wel werkend als de machine waarop de RDP koppeling staat die niet in het domein hangt, dus in een werkgroup, dan komt de verbinding wel tot stand.

Onze firewall heb ik ook uitgesloten heb de machine die in het domein hangt met RDP verbinding gemaakt via een hotspot lijn dan krijg ik ook de bovenstaande foutmelding.

De RDP koppeling heeft een RD Gateway adres.

Kort overzicht:
PC wel in domein met RDP naar ander bedrijf werkt niet.
PC niet in domein met RDP naar ander bedrijf werkt wel (dus externe server accepteert RDP verbinding).

PC in domein verbinding intern met RDP naar een server (dc, of mail, print server) dat werkt wel.

RDP in domein naar andere server buiten het bedrijf mag dus niet, enige idee in welke hoek ik moet zoeken om dit werkend te krijgen?

Dit lijkt erop maar is juist het tegenovergestelde.
https://www.sevenforums.c...uter-domain-computer.html

[bregweb]

Wat staat er in de Event Viewer van de remote server?

Heeft de user waar je mee aanlogt voldoende rechten in het externe domein? Wat gebeurt er als je de user als test domain admin maakt?

[HKLM_]

Wat zij het andere bedrijf toen je ze terugkoppelde dat je deze foutmelding kreeg ?

[mcetweaker]

Wat geef je als username in? Domain\username of enkel username? Of beide al geprobeerd?

[RobbyTown]

mcetweaker schreef op maandag 22 januari 2018 @ 16:19:
Wat geef je als username in? Domain\username of enkel username? Of beide al geprobeerd?

Beide geprobeerd. Doet geen wonderen. Ik krijg het inlog scherm echter na het inloggen krijg je dus de foutmelding. Ergens op het laatste stukje na de gegevens word de verbinding dus verbroken.

De screenshot hierboven krijg ik zowel in als buiten het domein. RDP lukt min of meer dus wel echter het inloggen zelf dus niet als de pc/laptop in domein hangt.

@bregweb bregweb & @HKLM_
Die hebben meegekeken op mijn laptop (die in het domein hangt).

Krijg je te horen. 'Waarschijnlijk zit het in jullie group policy aangezien het bij ons wel werkt' (hoe de setup van hun is weet ik niet).

Op de server kunnen wij niet inloggen. Situatie is ook verre van perfect. Bedrijf (waarmee wij RDP willen maken) heeft extern de ict bedrijf en die doet de it. IT bedrijf naar bedrijf dat wij willen overnemen werkt (maar ja wie weet ligt daar een vpn tussen).

[ Voor 7% gewijzigd door RobbyTown op 22-01-2018 16:39 ]

[HKLM_]

RobbyTown schreef op maandag 22 januari 2018 @ 16:37:
[...]

Beide geprobeerd. Doet geen wonderen. Ik krijg het inlog scherm echter na het inloggen krijg je dus de foutmelding. Ergens op het laatste stukje na de gegevens word de verbinding dus verbroken.
[afbeelding]

@bregweb bregweb & @HKLM_
Die hebben meegekeken op mijn laptop (die in het domein hangt).

Krijg je te horen. 'Waarschijnlijk zit het in jullie group policy aangezien het bij ons wel werkt' (hoe de setup van hun is weet ik niet).

Op de server kunnen wij niet inloggen. Situatie is ook verre van perfect. Bedrijf (waarmee wij RDP willen maken) heeft extern de ict bedrijf en die doet de it. IT bedrijf naar bedrijf dat wij willen overnemen werkt (maar ja wie weet ligt daar een vpn tussen).

Die GPO "kan je waarschijnlijk" makkelijk uitsluiten door even een nieuwe OU aan te maken en daar je systeem in te hangen. (weet niet hoe jullie OU boom eruit ziet)

[RobbyTown]

Zit hem niet in de OU. Vader van mij heeft ook een RDP koppeling naar zijn werk toe. Uiteraard even op mijn laptop gezet getest en die doet het dus wel. Met andere woorden server van hun zit dus het probleem, wat ik al vermoede.

[Killah_Priest]

RobbyTown schreef op maandag 22 januari 2018 @ 18:58:
Zit hem niet in de OU. Vader van mij heeft ook een RDP koppeling naar zijn werk toe. Uiteraard even op mijn laptop gezet getest en die doet het dus wel. Met andere woorden server van hun zit dus het probleem, wat ik al vermoede.

Dat zegt alsnog niets.
Loopt die andere RDP verbinding ook via een gateway? Zelfde OS op de session host / RD Gateway?
Vooral met RDP zijn er zoveel verschillende settings die dit kunnen veroorzaken (certificaten kunnen ook nog een rol spelen).

Ik zeg uiteraard niet dat dit niet alsnog aan de andere partij kan liggen. Maar op basis van jou test (RDP koppeling van je vader naar zijn werk op jouw machine testen) kun je echt niet de conclusie trekken dat het aan hen ligt.

[RobbyTown]

Killah_Priest schreef op maandag 22 januari 2018 @ 19:04:
[...]


Dat zegt alsnog niets.
Loopt die andere RDP verbinding ook via een gateway? Zelfde OS op de session host / RD Gateway?
Vooral met RDP zijn er zoveel verschillende settings die dit kunnen veroorzaken (certificaten kunnen ook nog een rol spelen).

Ik zeg uiteraard niet dat dit niet alsnog aan de andere partij kan liggen. Maar op basis van jou test (RDP koppeling van je vader naar zijn werk op jouw machine testen) kun je echt niet de conclusie trekken dat het aan hen ligt.

Die van mijn vader heeft inderdaad ook een gateway.

[Question Mark]

RobbyTown schreef op maandag 22 januari 2018 @ 18:58:

Met andere woorden server van hun zit dus het probleem, wat ik al vermoede.

Da's wel heel makkelijk redeneren... Met een pc die niet in jullie domein hangt werkt het ook. Conclusie: het zit in jullie domein...

Staat er nog iets in de eventviewer van een pc als het niet lukt? Het lijkt erop dat aanmelden op de Gateway server al niet goed gaat. Certificaatissue's kunnen dan wel een mogelijke oorzaak zijn.

Enable in de eventvwr eens de Capi2 log (applications and services - Microsoft - Windows - CAPI2) en probeer dan nog eens aan te loggen. Alle certificaat gerelateerde meldingen komen dan in die log terecht. Fouten in de certificaatchain of crl's zijn dan zichtbaar.

[RobbyTown]

Question Mark schreef op woensdag 24 januari 2018 @ 20:55:
[...]

Da's wel heel makkelijk redeneren... Met een pc die niet in jullie domein hangt werkt het ook. Conclusie: het zit in jullie domein...

Staat er nog iets in de eventviewer van een pc als het niet lukt? Het lijkt erop dat aanmelden op de Gateway server al niet goed gaat. Certificaatissue's kunnen dan wel een mogelijke oorzaak zijn.

Enable in de eventvwr eens de Capi2 log (applications and services - Microsoft - Windows - CAPI2) en probeer dan nog eens aan te loggen. Alle certificaat gerelateerde meldingen komen dan in die log terecht. Fouten in de certificaatchain of crl's zijn dan zichtbaar.

Thank voor de tip! Morgen is eens kijken. Nog kleine stap verder. Via fw vanuit ons zien we dat rdp verbinding maakt met poort 3389 echter komt er geen verkeer terug. Even poorten opgevraagd blijkt 3391 te gebruiken.

Heb nu bij de rdp gateway :3391 erbij getypt. Dan doet hij er wat langer over met uiteindelijk mislukt. Getest vanuit thuis iets minder handig uit te lezen dan via fw op werk dus morgen ook daar is kijken als de overkant dan ook terug praat.

[Question Mark]

3391 is alleen voor UDP verkeer... Het lijkt mij sterk dat ze TCP ook op 3391 gezet hebben.

By default, the Remote Desktop (RD) Gateway component that encapsulates RDP in HTTPS packets listens on port 443 (for TCP) and port 3391 (for UDP)

Het grote voordeel van een RD Gateway is dat verkeer in een HTTPS stream verstuurd kan worden over poort 443, waardoor je eigenlijk geen firewall issue's hebt. Door de default poorten nu aan te passen zou dit voordeel verloren gaan. Lijkt me sterk.

Daarnaast hebben je eerdere testen al uitgewezen dat de default poorten gewoon werken met een non-domainjoined werkplek.

[ Voor 11% gewijzigd door Question Mark op 25-01-2018 11:42 ]

[belrpr]

Probeer eens mstsc.exe al als administrator en te verbinden.
Afhankelijk van de rds server kan het zijn dat er lokaal in het register een licentie moet worden weggeschreven. Eenmaal gedaan kan een gewone user ook verbinden.

[RobbyTown]

belrpr schreef op donderdag 25 januari 2018 @ 18:04:
Probeer eens mstsc.exe al als administrator en te verbinden.
Afhankelijk van de rds server kan het zijn dat er lokaal in het register een licentie moet worden weggeschreven. Eenmaal gedaan kan een gewone user ook verbinden.

Doet helaas geen wonderen

Wat ik wel merk is als ik :3391 achter het gateway adres zet dat het een stuk langer duurt voor ik de foutmelding krijg.

Doe ik zonder na de inlog gegevens meteen de melding.
Doe ik de poort meegeven dan is hij even aan het proberen. Maar toch mislukt.

Als ik by default doe. Gat het verkeer maar 1 kant uit. 3x heen maar er komt geen verkeer terug.

[ Voor 7% gewijzigd door RobbyTown op 28-01-2018 16:29 ]

[belrpr]

Windows firewall eens uitgeschakeld en getest?