Recupere el acceso tras un cambio de seguridad incorrecto
Los controles de seguridad deben poder revertirse. Esta guía cubre errores de MFA, certificados, Firewall, agente y hora del servidor.
Utilice un piloto y mantenga un canal de recuperación independiente.
Lira cambia los controles de acceso en servidores Windows reales. Mantenga disponible el acceso a la consola, el hipervisor, iLO/iDRAC, VPN o WinRM probado antes de aplicar una política.
El principio de recuperación
Mantenga un canal administrativo independiente fuera del flujo de RDP.
Cambie un control a la vez, conserve el estado anterior y verifique la respuesta del agente antes de continuar.
No vuelva a intentar repetidamente un inicio de sesión fallido: puede crear bloqueos adicionales y ocultar el incidente original.
Verifique la hora de Windows, el controlador de dominio y el dispositivo autenticador.
Confirme que el código pertenece a la inscripción actual; Solicite un nuevo desafío después de una página caducada.
Utilice una derivación temporal documentada únicamente a través del portal y elimínela después de la prueba.
Si el agente no puede recibir la política, use la consola o WinRM para restaurar el servicio primero.
Certificado RDP o error de escucha
Conéctese a través de la consola o una sesión existente.
Utilice Restaurar escucha en el portal o restaure la huella digital del certificado previamente grabada.
Verifique el nombre DNS, SAN, la cadena de confianza y el acceso a la clave privada antes de volver a vincularse.
Reinicie los Servicios de Escritorio remoto solo en la ventana de mantenimiento aprobada.
Administrador bloqueado o regla de firewall incorrecta
Agregue la dirección de administración externa actual a la lista de permitidos.
Espere a un agente en línea y confirme que se eliminó la regla local del Firewall de Windows.
Si no hay ningún agente en línea, utilice el canal independiente para reparar la conectividad del servicio.
Revise la fuente exacta, el nombre de usuario y las marcas de tiempo antes de volver a cambiar la política.
Identidad de servidor incorrecta o nombre duplicado
Compare el nombre de host, la IP interna, la IP externa, la clave del agente y las marcas de tiempo del último latido.
Detenga el servicio obsoleto antes de inscribir un servidor de reemplazo.
Utilice una nueva clave específica de la organización; nunca confíe en un nombre para mostrar coincidente como identidad.
Mantenga el registro antiguo para auditoría hasta que se cierre el incidente.
Preguntas comunes
¿Puede el portal recuperar un servidor sin agente ni WinRM?
No. Se requiere al menos un canal independiente. Utilice un hipervisor, iLO/iDRAC/KVM/VNC o una consola local para restaurar el estado del agente o del firewall.
¿Qué pasa si el reloj del servidor está mal?
Primero corrija la sincronización horaria. La hora incorrecta puede invalidar los códigos MFA, distorsionar el orden de los eventos y hacer que falle la validación del certificado.
Registre la ruta de recuperación antes del lanzamiento de producción
Pruebe el acceso a la consola o WinRM, conserve el certificado y el estado de la política anteriores y asigne un propietario al incidente.