Como parar a Plataforma de Filtragem do Windows que bloqueia pacotes ICMP para tráfego RDP legítimo sobre o túnel L2TP?

Question

O RDP via Windows 2008 L2TP para o Windows 10 Pro nunca funcionou sem falhas. A primeira tentativa em setembro de 2018 precisava que o cliente Cord.app fosse substituído pelo Royal TSX no OS X 10.9.5. A caixa remota Win10 travou e foi reinstalada recentemente com todos os melhores e mais recentes Windows, de acordo com as atualizações de 16 de novembro de 2018, assim como a caixa local do Windows 2008 R2 SBS que serve como roteador VPN usando L2TP. OclienteL2TPobtémumendereçoIPv4atribuídonosanosvinte(.21,.22,etc.).

Desdeodia16denovembro,mesmocomoRoyalTSX,nãoconsigoobterumaconexãoRDPutilizávelparaacaixaremotadoWindows10Proatravésdotúnel,assimcomocomoCord.Ambasastentativasdeconexãoparamquandoaexibiçãoinicialdatelaéconcluídaparcialmente: Ecercade10segundosdepois,aconexãoL2TPéencerrada.

OlogdeeventosdoWindows2008SecurityrevelaqueospacotesICMPsãodescartadoscomEventID5152,tarefa12809eEventData:

ProcessId0Application-Direction%%14593(=Outbound)SourceAddress10.0.0.37SourcePort0DestAddress10.0.0.22DestPort0Protocol1FilterRTID141619LayerName%%14601(=ICMPerror)LayerRTID32

Esteeventoéregistrado6vezes,comumintervalode2segundosentreamensagem(1+2)e(3+4),eumintervalode3segundosentre(3+4)e(5+6).DifféoEventRecordIDconsecutivo.NãohámaisdiferençasnaexibiçãoXML.

Regressão

1. Questõessemelhantescomo Windows Filtering Pacotes de bloqueio de plataforma para tráfego legítimo ou não me traga uma pista.
2. Não há virtualização envolvida aqui, portanto, não vejo a necessidade de desativar o descarregamento do NIC do TCP.
3. Eu criei uma regra de firewall de entrada e de saída para permitir todo o tráfego ICMP de 10.0.0.0/24 a 10.0.0.0/24. Pacotes ICMP durante o RDP via L2TP ainda são descartados.
4. o logging de desativação do auditpol não é uma solução.
5. reduzir o MTU para 1280 bytes não melhora
6. mudar o cliente para uma rede de roteador Mikrotik (de um dispositivo de roteador doméstico Fritz! Box 06.83) melhorou duas vezes , usando um iPhone4 Wi-Fi ou um iPhone4 conectado a USB, pois o roteador GSM não melhorar
7. atualizar para o Fritz! OS 7.01 não melhora
8. uma caixa do Windows 7 na mesma rede que a caixa Win10 sofre de problemas idênticos de VPN RDP L2TP, os pacotes são descartados e o link L2TP é desconectado cerca de um minuto depois de iniciar a sessão RDP.

No Mikrotik (sem problema de desconexão, com o MTU definido como automático):

$ ping -D -c 1 -s 1472 host.domain.nl     (22-11-18 10:06)
PING host.domain.nl (1.4.6.2): 1472 data bytes
1480 bytes from 1.4.6.2: icmp_seq=0 ttl=32 time=98.001 ms
$ ping -D -c 1 -s 1473 host.domain.nl     (22-11-18 10:06)
PING host.domain.nl (1.4.6.2): 1473 data bytes
ping: sendto: Message too long

No Fritz! OS 7.01: ping tamanho 1464 = OK, 1465 = frag necessário e DF set (MTU 1492).

Como fazer com que a Windows Filter Platform (WFP) pare de descartar pacotes ICMP enviados pelo mecanismo de roteamento do Windows para túneis L2TP autenticados?

    

Answer 1

O carregamento parcial da tela antes da falha parece-me uma incompatibilidade de tamanho de MTU. É comum que os túneis tenham uma MTU menor que 1500.

Como teste, reduza temporariamente a MTU configurada do seu cliente RDP para ver se faz alguma diferença. Se o seu cliente estiver executando o Windows, aqui está um link: link