Kein Zugriff auf RDS Work Resources von extern

[frozen-]

Hallo Community,

ich habe folgendes Problem:

Wir haben bei uns in der Firma eine RDS Farm aufgebaut. Diese funktioniert im LAN einwandfrei. Wir haben auf einem Server die Remotedesktop-Verbindungsbroker Rolle, die Remotedesktop Lizenzierung und die Web Access Rolle installiert und ein weiterer Server dient als AppServer.

In der Domäne bzw. im LAN funktioniert alles ohne Probleme. Ich kann mich auf die Webseite "https://server/rdweb/feed/webfeed.aspx" verbinden, mich anmelden und meine Apps aufrufen.

Nun will ich den Zugriff von extern aufbauen. Habe ein RD Gateway installiert und darauf noch die Web Access Rolle hinzugefügt. Alles ist über unseren öffentlichen DNS Server erreichbar. Am internen DNS habe ich einen Alias erstellt, welcher gleich benannt ist wie auch der öffentliche DNS Name. Dieser Alias zeigt auf den Verbindungsbroker im LAN. Wenn ich nun mit einem Rechner von extern die Webseite öffne und mich anmelde, sehe ich alle Apps die mir zugeordnet sind. Wenn ich diese öffne, werde ich nach Benutzername und Kennwort abgefragt und ein RemoteApp Fenster für den Verbindungsaufbau öffnet sich... Das wars auch leider...

Irgendwann erscheint dann folgende Meldung: "Dieser Computer kann keine Verbindung mit dem Remotecomputer herstellen. Zwischen den beiden Computern konnte in der vorgesehenen Zeit keine Verbindung hergestellt werden. Wiederholen Sie den Verbindungsversuch...."

Wenn ich aber mit meinem Android Handy und der "RD-Client" App das gleiche probiere, kann ich von extern auf alle meine Apps zugreifen. Hierbei sollte doch normal die gleiche Verbindung aufgebaut werden, oder etwa nicht?

Das Betriebssystem der Server ist ein Windows Server 2012 R2 Standard. Das Betriebssystem des Rechners, mit dem ich mich von extern verbinden will ist Windows 7 Pro.

An der Firewall liegt es nicht, da ich zwischen den Servern zum Test mal alle Ports geöffnet habe und ich hier auch im Log nichts problematisches sehe...

Hab mit Wireshark einen Dump gemacht. Hier kann man sehen, dass wenn ich eine RemoteApp öffnen will und ich mich authentifiziere, der SSL Tunnel aufgebaut wird aber dann ein TCP Reset gesendet wird. Die Verbindung wird somit unterbrochen. Der Versuch, die RDP Verbindung aufzubauen dauert am Client aber noch an...

Das RST Paket wird vom Gateway zum Client gesendet...

Kann mir noch jemand Tipps geben wie ich das Problem lösen kann?

Danke!

Gruß Tobi

[SilentDemise]

hast du alle updates vom RDP Client installiert, sowohl auf server als auch client?

[frozen-]

Hallo SilentDemise,

danke für deine Antwort.

Ich habe sowohl auf dem Server als auch am Client die RDP Version 8.1 installiert. Am Client habe ich dies erste jetzt geupdated, funktioniert leider immer noch nicht...

Hier der Wireshark Dump den ich am Gateway gemacht habe.

79.x.x.x ist die offizielle IP des Clients und 192.168.x.x ist mein Gateway in der DMZ.

Bearbeitet 8. Mai 2014 von frozen-

[frozen-]

Noch einen Zusatz:

Wenn ich einen Connect versuche, sehe ich im Eventlog des RD Gateways unter dem Punkt "Applications and Services Logs / Microsoft / Windows / TerminalServices-Gateway / Operational" folgenden Eintrag:

"The user "user@domain", on client computer "79.x.x.x:49166", has initiated an outbound connection. This connection may not be authenticated yet."

Gleichzeigt bekomme ich aber am Client, der versuchen will eine Verbindung aufzubauen folgendes:

Getrennte RemoteApp: Der Computer kann keine Verbindung mit dem Remotecomputer herstellen, da ein Fehler auf dem Remotecomputer aufgetreten ist. Wenden Sie sich an den Netzwerkadministrator, um Unterstützung zu erhalten."

Falls das der Lösung des Problems helfen soll...

[paperdoll]

Hast du mal das Security Log angeschaut? Evtl. wird die Authentifizierung nicht sauber durchgeführt.

Hier ist ein technet thread der für dich interessant sein könnte:

Remote Desktop Gateway, can't connect from RDP 8.0 (Server 2012)

[frozen-]

@paperdoll

Danke für diesen Tipp. Es war die LAN-Manager Authentifizierung die Probleme machte. Man muss diese auf "Nur NTLMv2 Antworten senden" stellen, dann funktionierts.

Danke!

[SilentDemise]

Über die Risiken bei dieser Authentifizierung bist du dir aber im klaren, oder?

[frozen-]

Ja, deshalb werde ich das noch gründlich prüfen. Mir ging es nur einmal darum, den Grund für dieses Problem zu finden.

[paperdoll]

Interessant zu prüfen ist ab welchem Punkt in der Kette auf diese Authentifizierung zurückgegriffen wird ggf. kann man das in dem Punkt dann als unbedenklich einstufen, das kann man aber so pauschalisiert nicht ausdrücklich sagen.

[frozen-]

Ich hab jetzt noch eine andere Möglichkeit gefunden:

MSTSC-Clientverbindungsfehler 0xC000035B beim Einsatz von LmCompatibility

Habe den benannten RegKey erstellt und nun kann ich mich auch mit NTLM Authentifizieren. Jemand Erfahrungen hiermit?