O firewall do sistema operacional convidado da VM do Azure está bloqueando o tráfego de entrada

Aplica-se a: ✔️ VMs do Windows

Este artigo discute como corrigir o problema do Remote Desktop Portal (RDP) que ocorre se o firewall do sistema operacional convidado bloqueia o tráfego de entrada.

Sintomas

Você não pode usar uma conexão RDP para se conectar a uma máquina virtual (VM) do Azure. A partir do diagnóstico de inicialização -> Captura de tela, mostra que o sistema operacional está totalmente carregado na tela de boas-vindas (Ctrl+Alt+Del).

Motivo

Causa 1

A regra RDP não está configurada para permitir o tráfego RDP.

Causa 2

Os perfis de firewall do sistema convidado são configurados para bloquear todas as conexões de entrada, incluindo o tráfego RDP.

Solução

Antes de seguir essas etapas, faça um instantâneo do disco do sistema da VM afetada como backup. Para saber mais, consulte Instantâneo de um disco.

Para corrigir o problema, use um dos métodos em Como usar ferramentas remotas para solucionar problemas de VM do Azure para se conectar à VM remotamente e, em seguida, edite as regras de firewall do sistema operacional convidado para Permitir tráfego RDP.

Solução de problemas on-line

Conecte-se ao Serial Console e abra uma instância do PowerShell. Se o console serial não estiver ativado na VM, vá para "Reparar a VM offline.

Mitigação 1

1. Se o Azure Agent estiver instalado e funcionando corretamente na VM, você poderá usar a opção "Redefinir configuração apenas" em Ajuda>Redefinir senha no menu da VM.

2. Executar esta opção de recuperação faz o seguinte:

   • Habilita um componente RDP se ele estiver desabilitado.

   • Ativa todos os perfis de firewall do Windows.

   • Certifique-se de que a regra RDP esteja ativada no Firewall do Windows.

   • Se as etapas anteriores não funcionarem, redefina manualmente a regra de firewall. Para fazer isso, consulte todas as regras que contêm o nome "Área de trabalho remota" executando o seguinte comando:

     netsh advfirewall firewall show rule dir=in name=all | select-string -pattern "(Name.*Remote Desktop)" -context 9,4 | more
     

     Se a porta RDP foi definida para qualquer outra porta diferente de 3389, você deve encontrar qualquer regra personalizada que possa ter sido criada e definida para esta porta. Para consultar todas as regras de entrada que possuem uma porta personalizada, execute o seguinte comando:

     netsh advfirewall firewall show rule dir=in name=all | select-string -pattern "(LocalPort.*<CUSTOM PORT>)" -context 9,4 | more
     

3. Se você perceber que a regra está desativada, ative-a. Para abrir um grupo inteiro, como o grupo integrado de Área de Trabalho Remota, execute o seguinte comando:

   netsh advfirewall firewall set rule group="Remote Desktop" new enable=yes
   

   Caso contrário, para abrir a regra específica de área de trabalho remota (TCP-In), execute o seguinte comando:

   netsh advfirewall firewall set rule name="<CUSTOM RULE NAME>" new enable=yes
   

4. Para solução de problemas, você pode desativar os perfis de firewall:

   netsh advfirewall set allprofiles state off
   

   Depois de concluir a solução de problemas e configurar o firewall corretamente, reative o firewall.

   Observação

   Não é necessário reiniciar a VM para aplicar estas alterações.

5. Tente fazer uma conexão RDP para acessar a VM.

Mitigação 2

1. Consulte os perfis de firewall para determinar se a política de firewall de entrada está definida como BlockInboundAlways:

   netsh advfirewall show allprofiles | more
   

   

   Observação

   As diretrizes a seguir se aplicam à política de firewall, dependendo de como ela está configurada:

   • BlockInbound: Todo o tráfego de entrada será bloqueado, a menos que você tenha uma regra em vigor para permitir esse tráfego.
   • BlockInboundAlways: Todas as regras de firewall serão ignoradas e todo o tráfego será bloqueado.

2. Defina DefaultInboundAction para nem sempre bloquear o tráfego. Para fazer isso, execute o seguinte comando:

   netsh advfirewall set allprofiles firewallpolicy blockinbound,allowoutbound
   

3. Consulte os perfis novamente para certificar-se de que sua alteração foi feita com sucesso. Para fazer isso, execute o seguinte comando:

   netsh advfirewall show allprofiles | more
   

   Observação

   Não é necessário reiniciar a VM para aplicar as alterações.

4. Certifique-se de adicionar a regra de entrada para conexão RDP.

5. Tente novamente acessar sua VM por meio do RDP.

Mitigações off-line

1. Anexe o disco do sistema a uma VM de recuperação.

2. Inicie uma conexão de área de trabalho remota com a VM de recuperação.

3. Certifique-se de que o disco esteja sinalizado como Online no console de gerenciamento de disco. Observe a letra da unidade atribuída ao disco do sistema anexado.

Mitigação 1

Consulte Como habilitar-desabilitar uma regra de firewall em um sistema operacional convidado.

Mitigação 2

1. Anexe o disco do sistema a uma VM de recuperação.

2. Inicie uma conexão de área de trabalho remota com a VM de recuperação.

3. Depois que o disco do sistema for anexado à VM de recuperação, verifique se o disco está sinalizado como Online no console de gerenciamento de disco. Observe a letra da unidade atribuída ao disco do sistema operacional anexado.

4. Abra uma instância do PowerShell elevada e execute o seguinte script:

   REM Backup the registry prior doing any change
   robocopy f:\windows\system32\config f:\windows\system32\config.BACK /MT
   
   REM Mount the hive
   reg load HKLM\BROKENSYSTEM f:\windows\system32\config\SYSTEM
   
   REM Delete the keys to block all inbound connection scenario
   REG DELETE "HKLM\BROKENSYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\DomainProfile" /v DoNotAllowExceptions
   REG DELETE "HKLM\BROKENSYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\PublicProfile" /v DoNotAllowExceptions
   REG DELETE "HKLM\BROKENSYSTEM\ControlSet001\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile" /v DoNotAllowExceptions
   REG DELETE "HKLM\BROKENSYSTEM\ControlSet002\services\SharedAccess\Parameters\FirewallPolicy\DomainProfile" /v DoNotAllowExceptions
   REG DELETE "HKLM\BROKENSYSTEM\ControlSet002\services\SharedAccess\Parameters\FirewallPolicy\PublicProfile" /v DoNotAllowExceptions
   REG DELETE "HKLM\BROKENSYSTEM\ControlSet002\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile" /v DoNotAllowExceptions
   
   REM Unmount the hive
   reg unload HKLM\BROKENSYSTEM
   

5. Desconecte o disco do sistema e recrie a VM.

6. Verifique se o problema foi resolvido.

Entre em contato conosco para obter ajuda

Se você tiver dúvidas ou precisar de ajuda, crie uma solicitação de suporte ou peça ajuda à comunidade de suporte do Azure. Você também pode enviar comentários sobre o produto para a comunidade de comentários do Azure.