路由到终端服务群集

Question 1

您描述的错误消息表明 ASA 的状态数据包检查正在发挥作用。“无连接”的意思就是：ASA 的连接表中没有 192.168.251.2:4283 和 192.168.253.16:3389 之间的 TCP 连接的条目。

我将设置捕获如下：

asa (config)# 访问列表 RDPcap 允许 tcp 主机 192.168.251.2 主机 192.168.253.16 eq 3389
asa (config)# 访问列表 RDPcap 允许 tcp 主机 192.168.251.2 主机 192.168.253.17 eq 3389
asa (config)# 访问列表 RDPcap 允许 tcp 主机 192.168.251.2 主机 192.168.253.20 eq 3389
asa (config)# 访问列表 RDPcap 允许 tcp 主机 192.168.253.16 eq 3389 主机 192.168.251.2
asa (config)# 访问列表 RDPcap 允许 tcp 主机 192.168.253.17 eq 3389 主机 192.168.251.2
asa (config)# 访问列表 RDPcap 允许 tcp 主机 192.168.253.20 eq 3389 主机 192.168.251.2
asa# 捕获 RDPcap1 访问列表 RDPcap 接口 LAN251
asa# 捕获 RDPcap2 访问列表 RDPcap 接口 LAN253

其中 LAN251 是连接到 192.168.251.0/24 网络的接口，LAN253 是连接到 192.168.253.0/24 网络的接口。

然后尝试通过 RDP 连接并查看捕获的内容。

我敢打赌，你会发现，当你试图连接到其中一个 IP 时（你会看到一个 SYN 数据包从 192.168.251.2 上的随机端口 >1024 发送到 192.168.253.16/17/20 上的端口 3389），你会看到响应（SYN-ACK）从不同的 IP 地址返回，防火墙将接收该 SYN-ACK 数据包，但不会将其转发到你的 RDP 客户端。

如果是这种情况，解决方案不在 ASA 上。您需要弄清楚如何设置您正在使用的任何集群或负载平衡平台，以便与 RDP 正确配合使用。

如果不是这种情况，请粘贴捕获的内容，以便社区可以对其进行分析。

Answer

您描述的错误消息表明 ASA 的状态数据包检查正在发挥作用。“无连接”的意思就是：ASA 的连接表中没有 192.168.251.2:4283 和 192.168.253.16:3389 之间的 TCP 连接的条目。