keine RDP-Verbindung über WireGuard-VPN auf Win11-Client

Quote from danielm

Gibt es bei Windows 11 eine Sicherheits Einstellung wo es nicht erlaubt wird von einem anderen Netzwerk/VLAN Zugriff zu erlauben per RDP?

Wenn diese Einstellung nicht zufällig mit 24H2 eingeführt worden ist, gibt es sie nicht. Ich nutze Dein Szenario sehr regelmäßig, Verbindung per VPN (Wireguard) in einer fremdes Netz und dann per RDP auf verschiedene Systeme, auch Windows 11 Clients. Ich stoße dabei auf keine Probleme, die Windows Firewall blockiert auch nichts (ICMP im Standard aber schon, wie Du richtig bemerkt hast).

Habe leider keinen rechten Lösungsansatz, wollte Dir aber zumindest mitteilen, dass es prinzipiell funktioniert.

Hmm, seltsames Phänomen. Du könntest mal den Remote Desktop Manager von Devolutions probieren. Vielleicht hat der MSTSC gerade irgendein Problem.

Hast Du am Windows Rechner, auf den Du zugreifen möchtest, zufällig das Häkchen gesetzt bei:

"Verbindungen nur von Computern zulassen, auf denen Remotdesktop mit Authentifizierung auf Netzwerkebene ausgeführt wird (empfohlen)" ?

Das ist standardmäßig aktiviert. Nimm das mal raus, wenn es aus anderen Netzen funktionieren soll.

Quote from tobias.x

Hast Du am Windows Rechner, auf den Du zugreifen möchtest, zufällig das Häkchen gesetzt bei:

"Verbindungen nur von Computern zulassen, auf denen Remotdesktop mit Authentifizierung auf Netzwerkebene ausgeführt wird (empfohlen)" ?

Das ist standardmäßig aktiviert. Nimm das mal raus, wenn es aus anderen Netzen funktionieren soll.

Das ist absoluter Bullshit. Das Häkchen hat absolut nichts mit anderes Netzwerk zu tun. Entfernst Du das Häkchen, dann kann man sich mit uralten Remote Desktop Clients auf uralten Systemen Verbinden ... und das eher unsicherer. Daran liegt es nicht und ausserdem steht im ersten Beitrag drin, dass beide Varianten ausprobiert wurden.

Für mich liest es sich eindeutig wie ein Firewall Problem auf dem RDP Host ... oder vielleicht auch ein Problem des Netzwerkstacks des PCs.

Also bei mir ist es so, dass es innerhalb der lokalen Domäne mit Häkchen funktioniert, und an den Home Plätzen per VPN, die sich nicht an der Domäne anmelden, eben nicht. Daher fand ich meinen leicht umzusetzenden Ratschlag nicht so falsch wie Du.

Dass er das schon ausprobiert hatte, habe ich leider überlesen - Asche über mein Haupt

Mal noch eine Zusatzfrage:

Mit *OpenVPN* per OPNsense bekommt der Benutzer ja automatisch eine Adresse aus dem lokalen Netz zugewiesen. Deswegen wäre dort die Firewall, wenn er lokal per RDP zugreifen kann, in der Regel auch für die VPN Verbindung per OpenVPN für RDP offen.

Ist das bei Wireguard per Unifi anders? Sieht da der PC, auf den man zugreifen will, eine Adresse aus einem anderen Netz, wenn da jemand per Wireguard verbunden ist?

Quote from tobias.x

Mal noch eine Zusatzfrage:

Mit *OpenVPN* per OPNsense bekommt der Benutzer ja automatisch eine Adresse aus dem lokalen Netz zugewiesen. Deswegen wäre dort die Firewall, wenn er lokal per RDP zugreifen kann, in der Regel auch für die VPN Verbindung per OpenVPN für RDP offen.

Ist das bei Wireguard per Unifi anders? Sieht da der PC, auf den man zugreifen will, eine Adresse aus einem anderen Netz, wenn da jemand per Wireguard verbunden ist?

Wenn der Wireguard Client ein Gerät mit eigener Wireguard Verbindung ist, dann sieht der RDP die Wireguard Tunnel IP des Clients. Ist der Wireguard Client ein anderer Router, dann kommt es darauf an was dieser tut. Das ist eine Frage von NAT und nicht der Firewall als solche. Natten der Router die Wireguardverbindung (so wie es Unifi als Wireguard Client per Default tut), dann sieht der RDP ebenfalls die Wireguard Tunnel IP, eben weil genated wird. Macht der Router kein NAT auf der Wireguard Schnittstelle ( kann man bei Unifi so konfigurieren), dann sieht der RDP die IP des lokalen Netzes des Gerätes welches sich verbinden will. Kann natürlich auch noch eine Routerkaskade mit NAT irgendwo im Clientnetz sein, dann ggf. dessen IP

Das mit dem RDP Häkchen ist praktisch das Abschalten des Zwangs der neueren Authentifizierung. Ohne Haken wird schon eine RDP Sitzung geöffnet bevor die Authentifizierung stattfindet. Gibt man falsches Passwort ein, dann geht der Remotedesktop auf und man sieht die Anmeldemaske vom Windows. Mit Haken erscheint nix außer ein kleines Eingabefeld für die Anmeldung vom RDP Client. Früher konnte das neue Verfahren weder ein Client für Linux, noch für MacOS und auch XP, Vista und davor konnte dann keine Verbindung aufbauen. Vielleicht ist das noch aus alten Zeiten in der Firma aktiv oder hat andere Gründe. In der Firma ist es ja sicherlich auch ein Multisession RDP Server und kein Client OS. Mit Windows 10/11 sollte es keine Probleme mit RDP zu Windows 10/11 geben.