Решение проблемы удалённого доступа к ПК под управлением ViPNet SafeBoot

Гайд по устранению проблем с удалённым доступом к ПК на ViPNet SafeBoot: настройка предзагрузочной аутентификации, RDP, сетевых туннелей и брандмауэра.

2026.09.21 #ViPNet #safeboot #RDP #удаленный доступ #администрирование #инфобезопасность #Windows #файрвол

Решение проблемы удалённого доступа к ПК под управлением ViPNet SafeBoot Проблема почти всегда сводится к одному и тому же: предзагрузочная аутентификация → сеть → политики ViPNet → RDP/службы → брандмауэр. Идём по порядку.

1. Определите, на каком этапе «застревает» подключение

Прежде чем что-то чинить, зафиксируйте симптоматику:

Симптом	Вероятный слой
ПК вообще не отвечает на ping, RDP не поднимает соединение	Предзагрузка / сеть выключена до аутентификации
Ping есть, но RDP говорит «не удаётся подключиться»	RDP / службы / брандмауэр
RDP подключается, но чёрный экран или сброс сессии	Политики безопасности, видеодрайвер, сессия заблокирована
Подключение обрывается через несколько секунд	ViPNet Coordinator / IPSec-туннель падает
Ошибка аутентификации / «учётные данные неверны»	Учётные записи, Kerberos, доверие домену

2. Главная особенность: предзагрузочная аутентификация (Pre-Boot Authentication)

Это ключевая причина в 80 % случаев.

Что происходит

ViPNet SafeBoot реализует доверенную загрузку (ДЗ). До старта ОС пользователь обязан пройти аутентификацию на экране, который выводится до загрузки Windows.

В этот момент:

Сетевой стек не инициализирован (или инициализирован в минимальном режиме).
RDP, SSH, VNC, TeamViewer — не работают, потому что ОС ещё не запущена.
Никакое удалённое средство не может «достучаться» до машины.

Что делать

Вариант А — есть физический доступ или кто-то рядом с ПК:

Попросите пользователя / коллегу подойти к ПК.
На экране предзагрузочной аутентификации ввести ПИН-код / пароль ДЗ (это НЕ пароль Windows; это пароль, заданный при настройке доверенной загрузки).
Дождаться загрузки Windows. После этого удалённый доступ должен заработать.

Вариант Б — нужно настроить обход предзагрузки (только если позволяет политика безопасности):

Это снижает уровень защиты. Выполняется только администратором безопасности и только если это допустимо регламентом организации.

В консоли управления ViPNet SafeBoot (SafeBoot Management / ViPNet Administrator) для данного ПК:

Проверить параметр «Режим загрузки». Если стоит «Требовать аутентификацию при каждой загрузке» — изменить на «Автоматическая загрузка после первой успешной аутентификации» или «Загрузка по расписанию».
Проверить, не включён ли режим «Однократная аутентификация» (Single Sign-On) — он позволяет после первой аутентификации в ДЗ автоматически логиниться в Windows, но сам факт предзагрузки остаётся.

Если используется интеграция с TPM:

Уубедиться, что политика не требует обязательного ввода ПИН при каждом включении (параметр RequirePreBootPIN или аналог в политиках).

Вариант В — ПК ушёл в режим восстановления / блокировки:

Если целостность загрузочных компонентов нарушена (обновление прошивки, смена железа, попытка обхода), Safe Boot блокирует загрузку и требует аварийного восстановления.
В этом случае нужен ключ восстановления (Recovery Key), который хранится у администратора в консоли управления. Без него загрузиться не получится ни локально, ни удалённо.

3. Сетевой слой: ПК загружен, но не доступен по сети

Если вы уверены, что ПК уже загружен (например, пользователь подтвердил), но машина не отвечает:

3.1. Проверка базовой связности

:: С вашей машины
ping <IP-адрес_ПК>
tracert <IP-адрес_ПК>
arp -a | findstr <MAC-адрес_ПК>

3.2. Сетевой адаптер и драйверы

Если ПК в домене: проверить, что компьютерная учётная запись не заблокирована.

- Зайти локально (или попросить пользователя):

  ipconfig /all
  ipconfig /release && ipconfig /renew

- Проверить, что адаптер не отключён:

  Get-NetAdapter | Where-Object {$_.Status -ne "Up"}

3.3. Сетевой профиль и брандмауэр

# Проверить текущий профиль сети
Get-NetConnectionProfile

# Если профиль "Общедоступная сеть" — сменить на "Доменная" или "Частная"
Set-NetConnectionProfile -InterfaceAlias "Ethernet" -NetworkCategory Domain

# Проверить, не блокирует ли брандмауэр Windows
Get-NetFirewallProfile -All | Select-Object Name, Enabled
Get-NetFirewallRule -DisplayGroup "Удалённый рабочий стол" | Format-Table -AutoSize

3.4. Влияние ViPNet Client / Coordinator

Если на ПК установлен ViPNet Client (а при работе в связке с Safe Boot это типично):

IPSec-туннель может быть не установлен или «упал».

Проверить:

Трей-иконка ViPNet Client — статус подключения.
Логи: C:\Program Files\InfoTeCS\ViPNet Client\logs\ или через консоль управления.

- Политики маршрутизации через Coordinator могут перенаправлять трафик через защищённый канал. Если туннель не поднят — трафик не пойдёт.

  :: Диагностика туннеля (если есть утилита)
  vpncmd status

Убедиться, что порт RDP (TCP 3389) не блокируется на стороне Coordinator / шлюза.

4. Настройка RDP на целевом ПК

Если сеть работает, но RDP не подключается:

4.1. Убедиться, что RDP включён

# Включить RDP
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 0

# Включить правило брандмауэра
Enable-NetFirewallRule -DisplayGroup "Удалённый рабочий стол"

# Перезапустить службу
Restart-Service TermService -Force

4.2. Проверить, что служба работает

Get-Service TermService, UmRdpService, SessionEnv | Format-Table Name, Status, StartType

Все три должны быть Running. Если нет:

Set-Service TermService -StartupType Automatic
Start-Service TermService

4.3. Проверить, что пользователь входит в группу «Пользователи удалённого рабочего стола»

net localgroup "Пользователи удалённого рабочего стола"
:: Добавить пользователя при необходимости
net localgroup "Пользователи удалённого рабочего стола" DOMAIN\username /add

4.4. NLA (Network Level Authentication)

Иногда SafeBoot или групповые политики требуют NLA, а клиент не может его пройти:

# Проверить статус NLA
Get-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' | Select-Object UserAuthentication

UserAuthentication = 1 → NLA включён.
Если клиент старый или есть проблемы с сертификатами — временно попробовать отключить (0) для диагностики. Не оставлять отключённым в продакшене.

4.5. Ограничение числа сессий

Get-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' | Select-Object fSingleSessionPerUser

Если fSingleSessionPerUser = 1 и сессия уже существует (зависла), новое подключение может не проходить.

Сбросить сессию:

query user
reset session <ID>

5. Политики безопасности и групповые политики (GPO)

ViPNet SafeBoot часто разворачивается в связке с доменными GPO, которые дополнительно ограничивают доступ:

5.1. Проверить локальные политики

secpol.msc

Разделы для проверки:

Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Узел сеансов → Подключения

«Разрешить подключения по удалённому рабочему столу» → Включено.
«Требовать использование проверки подлинности на уровне сети» → проверить.

Параметры безопасности → Локальные политики → Назначение прав пользователя

«Разрешить вход через службы удалённых рабочих столов» — нужные пользователи/группы должны быть в списке.
«Запретить вход через службы удалённых рабочих столов» — убедиться, что пользователь не в этом списке.

5.2. Политики, навязанные Safe Boot

В консоли управления Safe Boot проверить профиль безопасности ПК:

Нет ли запрета на удалённый доступ в период до прохождения аутентификации.
Не включён ли режим «запрет сетевых подключений до аутентификации пользователя».
Не задано ли ограничение по времени, после которого ПК автоматически блокируется и требует повторной аутентификации.

5.3. Принудительное обновление GPO

gpupdate /force
gpresult /r > C:\temp\gpresult.txt

Изучить вывод gpresult на предмет конфликтующих политик.

6. Брандмауэр: комплексная проверка

6.1. Брандмауэр Windows

# Разрешить RDP для всех профилей
New-NetFirewallRule -DisplayName "Allow RDP" -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Allow -Profile Any -ErrorAction SilentlyContinue

# Посмотреть, нет ли блокирующих правил
Get-NetFirewallRule | Where-Object {$_.Action -eq 'Block' -and $_.Enabled -eq 'True'} | Format-Table DisplayName, Direction, Profile

6.2. Брандмауэр ViPNet

ViPNet Client может устанавливать собственный сетевой фильтр:

Открыть консоль ViPNet Client → Сетевой экран / Межсетевой экран.
Убедиться, что входящий трафик на порт 3389 (или тот, который вы используете) разрешён.
Проверить, не активирован ли режим «Запрет всех входящих соединений кроме разрешённых».

6.3. Аппаратный/корпоративный файрвол

Если ПК находится за ViPNet Coordinator (аппаратный или программный шлюз):

В консоли Coordinator проверить правила МЭ для данной сети/хоста.
Убедиться, что порт 3389 (или ваш) проброшен через NAT (если используется).
Проверить журнал блокировок на Coordinator.

7. Диагностика через альтернативные каналы

Если RDP не работает, попробуйте другие способы убедиться, что ОС функционирует:

7.1. Удалённое управление через PowerShell

# Если включён WinRM
Enter-PSSession -ComputerName <IP_ПК> -Credential (Get-Credential)

# Или через PsExec
psexec \\<IP_ПК> -u DOMAIN\user -p password cmd

7.2. WMI-запрос

Get-WmiObject -Class Win32_OperatingSystem -ComputerName <IP_ПК> -Credential (Get-Credential) | Select-Object LastBootUpTime, Caption

Если WMI отвечает — ОС загружена, проблема именно в RDP/сети.

7.3. Проверить, не заблокирован ли экран

Иногда ПК загружен, но сессия заблокирована (пользователь нажал Win+L или сработал таймаут).

В этом случае:

Некоторые политики не позволяют подключиться к заблокированной сессии удалённо.
Решение: mstsc /admin или подключение через консольную сессию.

8. Логи и диагностика

8.1. Журналы Windows

eventvwr.msc

Журналы Windows → Система: ошибки TermService, TermDD, RDP-Tcp.
Журналы приложений и служб → Microsoft → Windows → TerminalServices-LocalSessionManager: события подключения/отключения.
Журналы безопасности: события 4625 (неудачный вход), 4624 (успешный вход).

8.2. Логи ViPNet Safe Boot

Расположение по умолчанию (может отличаться в зависимости от версии):

C:\ProgramData\InfoTeCS\ViPNet Safe Boot\logs\
C:\Program Files\InfoTeCS\ViPNet Safe Boot\logs\

Искать записи:

AUTH_FAIL — неудачная аутентификация при предзагрузке.
INTEGRITY_VIOLATION — нарушение целостности загрузочных компонентов.
LOCKED — ПК заблокирован.
RECOVERY_REQUIRED — требуется ключ восстановления.

8.3. Логи ViPNet Client

C:\Program Files\InfoTeCS\ViPNet Client\logs\

Искать ошибки установки туннеля, таймауты IKE/IPSec.

8.4. Консоль управления

В консоли администрирования Safe Boot / ViPNet Administrator:

Найти ПК в списке.
Посмотреть статус: «Заблокирован», «Ожидает аутентификации», «Активен».
Просмотреть журнал событий по данному ПК.
Проверить, нет ли принудительной блокировки, выставленной администратором.

9. Типовые сценарии и решения

Сценарий 1: «ПК после обновления/перезагрузки не отвечает по сети»

Причина:

SafeBoot требует предзагрузочную аутентификацию. ОС не загрузилась.

Решение:

Физическая аутентификация на ПК или настройка автозагрузки в политиках (см. п. 2).

Сценарий 2: «ПК загрузился, но туннель не поднимается»

Причина:

Сбой сертификатов / ключей, рассинхронизация времени, падение службы.

Решение:

:: Проверить время (рассинхронизация > 5 мин ломает Kerberos и IPSec)
w32tm /query /status
w32tm /resync /force

:: Перезапустить службу ViPNet Client
net stop "ViPNet Client" && net start "ViPNet Client"

Проверить сертификат в консоли. При необходимости перевыпустить ключи через администратора.

Сценарий 3: «RDP обрывается сразу после подключения»

Причина:

Конфликт видеодрайвера, политики по глубине цвета, нехватка ресурсов.

Решение:

Подключиться через mstsc /admin /v:<IP> с пониженным разрешением.
В mstsc → Вид → снять галочку «Визуальные стили», снизить глубину цвета до 15 бит.
Обновить видеодрайвер на целевом ПК.

Сценарий 4: «Пользователь не может войти, хотя администратор может»

Причина:

Пользователь не в группе «Пользователи удалённого рабочего стола» или заблокирован в политиках.

Решение:

см. п. 4.3 и 5.1.

Сценарий 5: «ПК был в спящем режиме и не просыпается»

Причина:

Сетевой адаптер не поддерживает Wake-on-LAN или он отключён; после пробуждения SafeBoot требует повторную аутентификацию.

Решение:

Настроить Wake-on-LAN в BIOS и в свойствах сетевого адаптера.
В политиках электропитания запретить сон/гибернацию.
Настроить автологин после выхода из сна (если допустимо).

10. Чек-лист для обращения к администратору безопасности

Если самостоятельные шаги не помогли, подготовьте для администратора следующую информацию:

Имя ПК и IP-адрес.
Время последней успешной загрузки и последней неудачной попытки подключения.
Симптом (из таблицы в п. 1).
Вывод команд:

   ping <IP>
   tracert <IP>
   Test-NetConnection -ComputerName <IP> -Port 3389

Скриншот ошибки при подключении.
Версию ОС и версию ViPNet SafeBoot / Client.
Изменения, которые производились перед появлением проблемы (обновления, смена оборудования, смена паролей).

11. Профилактика

Настроить автоматическую загрузку для серверов и ПК, к которым нужен постоянный удалённый доступ (по согласованию с ИБ).
Запретить спящий режим и гибернацию на критичных ПК:

  powercfg -change -standby-timeout-ac 0
  powercfg -change -hibernate-timeout-ac 0

Настроить мониторинг доступности (Zabbix, PRTG, Nagios) с проверкой порта 3389.
Регулярно проверять синхронизацию времени (источник: контроллер домена).
Иметь актуальную базу ключей восстановления в защищённом хранилище.
Вести журнал изменений политик безопасности.

Важно:

ViPNet SafeBoot — средство защиты информации, сертифицированное для работы с КИИ. Любые изменения политик (отключение предзагрузки, изменение правил МЭ) должны выполняться только уполномоченным администратором и фиксироваться в журнале в соответствии с внутренними регламентами организации.

Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.

Статью подготовил: Аверко Денис Сергеевич @Nymexis г. Омск (специалист по ЗИ)