RadminLAN中继模式下TCP连接失败如何排查？

Question

RadminLAN中继模式下TCP连接失败的典型问题是：客户端能成功连接中继服务器（端口默认6123），但无法建立到目标主机的中继通道。常见原因包括——中继服务未启用“允许中继连接”选项；目标主机防火墙拦截了中继服务器的反向入站连接（非本地回环，而是来自中继IP的TCP请求）；中继服务器与目标主机间存在NAT或双向ACL策略，导致SYN包可达但SYN-ACK无法返回；或目标主机Radmin Server服务未运行/未监听TCP 4899（默认远程控制端口）。此外，若中继配置为“仅限局域网”，而客户端通过公网IP接入，则身份校验失败亦表现为连接超时。建议按序验证：① `telnet <中继IP> 6123` 确认中继可达；② 在目标主机抓包（Wireshark过滤 `tcp.port==4899 and ip.src==<中继IP>`）确认SYN是否抵达；③ 检查Radmin Server日志中的“Relay connection denied”类错误。多数案例源于目标端网络策略疏漏，而非中继配置本身。

Answer 1

```html

一、现象层：客户端可连中继但中继通道建立失败

典型表现为：Radmin Client成功连接中继服务器（telnet relay-server 6123 返回连接成功），但数秒后弹出“无法连接到远程计算机”或“连接超时”，且目标主机无任何控制界面响应。此阶段仅反映TCP三次握手在中继侧完成，但未触发后续中继隧道的端到端协商流程。

二、协议层：TCP连接路径的双向性被隐式破坏

中继模式本质是“反向代理+服务端主动回调”——中继服务器（监听6123）接收客户端请求后，主动向目标主机的4899端口发起SYN。若目标主机防火墙（Windows Defender Firewall / iptables / 企业级NGFW）默认拒绝非本地网段的入向连接，或ACL策略仅放行ESTABLISHED,RELATED状态而未显式允许NEW来自中继IP的4899连接，则SYN包被静默丢弃。Wireshark抓包过滤表达式：tcp.port == 4899 and ip.src == [中继IP] 可直接验证该路径是否“单向可达”。

三、配置层：Radmin服务端关键开关与上下文约束

• 中继服务端：必须勾选「允许中继连接」（Registry路径：HKEY_LOCAL_MACHINE\SOFTWARE\Radmin\Server\Parameters\RelayEnabled = 1）；
• 目标主机Radmin Server：需启用「接受中继连接」（GUI中“安全”→“中继连接”选项卡）；
• 中继策略模式：若设为“仅限局域网”，则客户端源IP必须匹配中继服务器本地子网（如中继IP为192.168.10.5/24，则客户端公网IP接入将触发身份校验失败，日志记录RelayAuthFailed: client IP not in LAN range）。

四、网络层：NAT/ACL引发的SYN-ACK黑洞现象

当存在多层NAT（如中继服务器位于云VPC内网，目标主机在运营商CGNAT后）或企业级双向ACL时，常见症状为：目标主机Wireshark可见SYN（来自中继IP:6123→目标:4899），但无SYN-ACK返回；中继服务器TCP重传SYN（间隔1s, 3s, 7s…），最终超时。此时需检查：

检查项	验证命令	预期结果
中继→目标4899连通性	telnet target-host 4899（从中继服务器执行）	应成功（排除目标服务宕机）
目标→中继6123反向路径	curl -v http://[中继IP]:6123（从目标主机执行）	HTTP 400或Connection refused（因非HTTP服务，但可验证三层可达）

五、诊断流：标准化排错流程图

graph TD
  A[客户端telnet 中继IP 6123] -->|Success| B{中继服务日志有RelayAccepted?}
  B -->|Yes| C[目标主机抓包：tcp.port==4899 and ip.src==中继IP]
  B -->|No| D[检查中继服务Registry RelayEnabled=1 & 防火墙6123入向]
  C -->|SYN存在| E[检查目标主机Radmin Server服务状态及4899监听]
  C -->|SYN缺失| F[检查目标防火墙/ACL/安全组放行中继IP→4899]
  E -->|4899未监听| G[启动Radmin Server或检查端口占用]
  F -->|策略阻断| H[添加规则：Allow TCP from [中继IP] to any port 4899]

六、日志层：Radmin Server关键错误语义解析

打开%ProgramFiles%\Radmin Server 4\Logs\RServer.log，重点关注以下错误模式：

• Relay connection denied: source IP [中继IP] not allowed → 中继IP未加入Radmin Server的“可信中继列表”（需在GUI“安全→中继连接→添加IP”）；
• Cannot bind to port 4899: Address already in use → 端口冲突（如TeamViewer/AnyDesk占用了4899）；
• Relay auth failed: invalid session token → 客户端版本与中继服务器不兼容（Radmin v4.5+要求中继服务端同步升级）。

七、加固层：生产环境最小权限部署建议

避免“全开防火墙”式修复，推荐实施纵深防御：

1. 中继服务器：仅开放6123/TCP入向，源IP限制为客户端出口IP段；
2. 目标主机：创建专用防火墙规则，精确限定仅允许中继服务器IP访问4899/TCP；
3. 禁用Radmin Server默认密码策略，强制使用证书认证（Radmin v4.5+支持TLS中继加密）；
4. 在中继服务器部署NetFlow或eBPF探针，实时监控6123→4899的连接发起频次与目标分布，识别异常扫描行为。

```