Emissão de encapsulamento através de um servidor bastion do ubuntu

Question

Eu tenho um servidor ubuntu bastion configurado para encapsular o tráfego dentro da AWS para um servidor Windows em uma sub-rede privada.

O grupo de segurança da AWS permite o tráfego da porta 22 e todo o tráfego de saída. O servidor privado do Windows permite o tráfego RDP do servidor bastion.

Eu configurei o putty para direcionar o tráfego RDP do local 3391 para o 3389 no servidor privado do Windows. Eu consigo conectar o SSH sem problemas.

Quando abro uma sessão RDP para localhost: 3391, vejo "A Área de trabalho remota não pode se conectar ao computador remoto" localhost "por um destes motivos: 1) Sua conta de usuário não está listada na lista de permissões do Gateway RD ... etc. "

Eu tentei desativar o firewall do Windows na minha máquina local. Eu instruí as janelas para permitir conexões de desktop remotas para minha máquina local. As conexões de área de trabalho remota de outras máquinas com Windows na mesma rede para o servidor privado do Windows funcionam sem problemas, portanto, não é um problema com a máquina remota que aceita conexões.

Idéias sobre o que poderia estar causando isso?

Edição para fornecer mais detalhes:

Máquina local (desejo conectar deste servidor ao servidor de destino na AWS, através do bastião)

1. Na minha rede privada.
2. Windows 10
3. O firewall do Windows está desativado para fins de depuração.
4. O Windows está permitindo conexões de área de trabalho remota.
5. O loopback do Windows para 127.0.0.1 está configurado em drivers / etc / hosts (como de costume)
6. A versão 0.67 do Putty está em execução para conectar o SSH ao servidor de bastiões.
7. O Putty está se conectando ao ubuntu @ [IP público para o servidor Ubuntu] na porta 22
8. Putty autentica contra o Ubuntu usando arquivo de chave da AWS
9. O Putty é configurado para permitir o encaminhamento de agentes
10. O Putty é configurado para encapsular o tráfego do local 3391 para a porta 3389 no servidor de destino usando o endereço IP privado que o servidor bastion usaria para se conectar a ele (10.0.2.127)
11. Quando tento conectar-me ao host local: 3391 desta máquina, recebo o erro mencionado acima.

Servidor de bastiões:

1. Ubuntu em execução na AWS
2. Tem um endereço IP público
3. Está em uma sub-rede pública, mas compartilha a mesma VPC que o servidor de destino
4. O grupo de segurança da AWS para essa máquina permite o tráfego de entrada em 22 e todo o tráfego de saída

Servidor de destino:

1. Windows 2012 R2 no AWS
2. Em uma sub-rede privada no mesmo VPC que o servidor de bastiões
3. O Firewall do Windows está desativado para fins de depuração
4. O grupo de segurança da AWS para essa máquina permite o tráfego RDP do servidor de bastiões no 3389.
5. Eu posso conectar a área de trabalho remota de uma máquina Windows diferente na AWS a essa máquina, por isso sabemos que as conexões RDC são aceitas pelo servidor de destino.