Протокол RDP с защитой на уровне сети (SSL), к сожалению, не получил широкого распространения среди системных администраторов, предпочитающих защищать терминальные соединения другим способом. Возможно это связано с кажущейся сложностью способа, однако это не так, в данном материале мы рассмотрим как просто и без затруднений организовать такую защиту.
Какие преимущества дает нам защита RDP при помощи SSL? Во первых надежное шифрование канала, проверку подлинности сервера на основании сертификата и проверку подлинности пользователя на уровне сети. Последняя возможность доступна начиная с Windows Server 2008. Проверка подлинности на уровне сети позволяет повысить безопасность сервера терминалов за счет того, что проверка происходит еще до начала сеанса.
Проверка подлинности на уровне сети производится до подключения к удаленному рабочему столу и отображения экрана входа в систему, это снижает нагрузку на сервер и значительно увеличивает его защиту от злоумышленников и вредоносных программ, а также снижает вероятность атак типа "отказ в обслуживании".
Для полноценного использования всех возможностей RDP через SSL клиентские ПК должны работать под управлением Windows XP SP3, Windows Vista или Windows 7 и использовать RDP клиент версии 6.0 или более поздней.
При использовании Windows Server 2003 SP1 и более поздних версий, будут доступны шифрование канала при помощи SSL (TLS 1.0) и проверка подлинности сервера, клиентские ПК должны иметь версию RDP клиента 5.2 или более позднюю.
В нашей статье мы будем рассматривать настройку терминального сервера на базе Windows Server 2008 R2, однако все сказанное будет справедливо и для Windows Server 2003 (за исключением отсутствующих возможностей).
Для успешной реализации данного решения в вашей сети должен находиться работающий центр сертификации, настройку которого мы рассматривали в . Для доверия сертификатам выданным данным ЦС на терминальный сервер необходимо установить сертификат ЦС (или цепочку сертификатов) в хранилище .
Затем следует выполнить запрос сертификата подлинности сервера со следующими параметрами:
Имя - полное имя терминального сервера (т.е. server.domain.com если сервер входит в домен domain.com)
- Тип сертификата - Сертификат проверки подлинности сервера
- Установите опцию Создать новый набор ключей
- CSP - Microsoft RSA SChannel Cryptographic Provider .
- Установите флажок Пометить ключ как экспортируемый .
- Для ЦС предприятия установите флажок Использовать локальное хранилище компьютера для сертификата . (В автономном ЦС данная опция недоступна).
Отправьте запрос центру сертификации и установите выданный сертификат. Данный сертификат должен быть установлен в локальное хранилище компьютера, иначе он не сможет быть использован службами терминалов. Чтобы проверить это запустим консоль MMC (Пуск - Выполнить - mmc ) и добавим оснастку Сертификаты (Файл - Добавить или удалить оснастку ) для учетной записи компьютера.
В корне консоли выберите нажмите Вид - Параметры и установите режим просмотра Упорядочить сертификаты по назначению . Выданный сертификат должен находиться в группе Проверка подлинности сервера .
Если вы получали сертификат с помощью изолированного (автономного) ЦС (сеть не имеет доменной структуры) то он по умолчанию будет установлен в хранилище учетной записи пользователя и придется выполнить ряд дополнительных действий.
Откройте Internet Explorer - Свойства обозревателя - Содержимое - Сертификаты , выданный сертификат должен быть установлен в хранилище Личные .
Произведите его экспорт. При экспорте укажите следующие опции:
- Да, экспортировать закрытый ключ
- Удалить закрытый ключ после успешного экспорта
После чего удалите сертификат из данного хранилища. В оснастке Сертификаты (локальный компьютер) выберите раздел Проверка подлинности сервера , щелкните на него правой кнопкой мыши Все задачи - Импорт и импортируйте сертификат.
Теперь в Администрирование - Службы удаленных рабочих столов откройте Конфигурация узла сеансов удаленных рабочих столов (в Windows Server 2003 Администрирование - Настройка служб терминалов).
Выберите необходимое подключение и откройте его свойства. В самом низу нажмите кнопку Выбрать и выберите полученный на предыдущем шаге сертификат (в Windows Server 2003 это окно выглядит несколько по другому).
После выбора сертификата укажите остальные свойства:
- Уровень безопасности SSL
- Уровень шифрования Высокий или FIPS -совместимый
- Установите флажок Разрешить подключаться только с компьютеров... (недоступно в Windows Server 2003)
Сохраните введенный параметры, на этом настройка сервера закончена.
На клиентском ПК создайте подключение к удаленному рабочему столу, в качестве адреса используйте полное имя сервера, которое указано в сертификате. Откройте свойства подключения и на закладке Подключение - Проверка подлинности сервера установите опцию Предупреждать .
Чтобы данный ПК доверял сертификатам выданным нашим центром сертификации не забудьте установить на него сертификат ЦС в хранилище Доверенные корневые центры сертификации
.
В Windows 7 (при использовании RDP клиента версии 7) данный сертификат требуется установить в хранилище учетной записи компьютера , для этого импортируйте его через оснастку Сертификаты (локальный компьютер) в консоли MCC, аналогично тому, как это делали выше. В противном случае подключение будет невозможно и вы получите следующую ошибку:
Установив сертификат ЦС можете пробовать подключиться, обратите внимание, что имя пользователя и пароль будет предложено ввести еще до создания RDP сессии. При успешном соединении обратите внимание на замок в заголовке окна, который свидетельствует о работе через SSL. Нажав на него можно просмотреть информацию о сертификате.
И напоследок капля дегтя в бочке меда. Терминальные службы Windows не умеют проверять подлинность подключающихся клиентов, поэтому если стоит такая необходимость следует использовать дополнительные методы защиты, такие как SSH туннель или IPSec VPN.
По умолчанию во всех операционных системах Windows для подключения по протоколу RDP (Remote Desktop Protocol / Удаленный рабочий стол) использует порт TCP 3389 .
Если ваш компьютер подключен напрямую к интернету (например, VDS сервер), или вы настроили на своем пограничном маршрутизаторе порта 3389/RDP в локальную сеть на компьютер или сервер с Windows, вы можете изменить стандартный RDP порт 3389 на любой другой. Изменив номер RDP порта для подключения, вы можете спрятать ваш RDP сервер от сканеров портов, уменьшите вероятность эксплуатации RDP уязвимостей (последняя критическая уязвимость в RDP BlueKeep описана в ), уменьшите количество попыток удалённого подбора паролей по RDP (не забывает периодически ), SYN и других типов атак (особенно при ).
Замену стандартного RDP порта можно использовать, когда за маршрутизатором с одним белым IP адресом находится несколько Windows компьютеров, к которым нужно предоставить внешний RDP доступ. На каждом компьютере вы можете настроить уникальный RDP порт и настроить перенаправление портов на маршрутизаторе на локальные компьютеры (в зависимости от номера RDP порта сессия перенаправляется на один из внутренних ПК).
При выборе нестандартного номера порта для RDP обратите внимание, что желательно не использовать номера портов в диапазоне от 1 до 1023 (известные порты) и динамические порты из RPC диапазона (от 49152 до 65535).
Попробуем изменить порт, на котором ожидает подключения служба Remote Desktop на 1350 . Для этого:
- Откройте редактор реестра и перейдите в ветку HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp ;
- Найдите DWORD параметр реестра с именем PortNumber . В этом параметре указан порт, на котором ожидает подключения служба Remote Desktop;
- Измените значение этого порта. Я изменил RDP порт на 1350 в десятичном значении (Deciamal);
- Если на вашем компьютере включен Windows Firewall, вы должны создать новое правило, разрешающее входящее подключение на новый RDP порт (если вы перенастраиваете удаленный сервер через RDP, не создав правило в брандмауэре, вы потеряете доступ к серверу). Вы можете создать разрешающее входящее правило для нового TCP/UDP порта RDP вручную из консоли ‘Брандмауэр Защитника Windows’ (firewall.cpl
) или с помощью : New-NetFirewallRule -DisplayName "New RDP Port 1350" -Direction Inbound -LocalPort 1350 -Protocol TCP -Action allow И: New-NetFirewallRule -DisplayName "New RDP Port 1350" -Direction Inbound -LocalPort 1350 -Protocol UDP -Action allow
- Перезагрузите компьютер или перезапустите службу удаленных рабочих столов командой: net stop termservice & net start termservice
- Теперь для подключения к данному Windows компьютеру по RDP, в клиенте mstsc.exe нужно указывать порт RDP подключения через двоеточие следующим образом: Your_Computer_Name:1350 или по IP адресу 192.168.1.100:1350 или из командной строки: mstsc.exe /v 192.168.1.100:1350
Если для управления множеством RDP подключений вы используете менеджер RDP подключений , заданный вами номер RDP порта для подключения можно указать на вкладке “Connection Settings”.
- В результате вы успешно подключитесь к рабочему столу удаленного компьютера по новому номеру RDP порта (с помощью команды nenstat –na | Find “LIST” убедитесь, что служба RDP теперь слушает на другом порту).
Полный код PowerShell скрипт для смены RDP порта, создания правила в брандмауэре и перезапуска службы RDP на новом порту может выглядеть так:
New-NetFirewallRule -DisplayName "New RDP Port $RDPPort" -Direction Inbound –LocalPort $RDPPort -Protocol UDP -Action Allow
Write-host "Номер RDP порта изменен на $RDPPort " -ForegroundColor Magenta
Можно изменить номер RDP удаленно на нескольких компьютерах в домене AD (определенной OU) с помощью Invoke-Command и :
Write-host "Укажите номер нового RDP порта: " -ForegroundColor Yellow -NoNewline;$RDPPort = Read-Host
$PCs = Get-ADComputer -Filter * -SearchBase "CN=DMZ,CN=Computers,DC=winitpro,DC=ru"
Foreach ($PC in $PCs) {
Invoke-Command -ComputerName $PC.Name -ScriptBlock {
param ($RDPPort)
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-TCP\" -Name PortNumber -Value $RDPPort
New-NetFirewallRule -DisplayName "New RDP Port $RDPPort" -Direction Inbound –LocalPort $RDPPort -Protocol TCP -Action Allow
New-NetFirewallRule -DisplayName "New RDP Port $RDPPort" -Direction Inbound –LocalPort $RDPPort -Protocol TCP -Action Allow
Restart-Service termservice -force
}
Это инструкция по смене стандартного RDP порта подойдёт для любой версии Windows, начиная с Windows XP (Windows Server 2003) и заканчивая Windows 10 (Windows Server 2019).
Данный протокол, широко применяемый в современных вычислительных сетях, знает любой системный администратор. Используя его, можно подключится к удаленной машине, работающей под управлением операционной системы линейки Microsoft. Вам будет доступен рабочий стол, файловая система и тд. Таким образом, можно будет осуществлять основную массу настроек и профилактических мероприятий, без необходимости физического присутствия за экраном удаленного ПК.
Именно поэтому протокол RDP является одним из основных составляющих в арсенале технических специалистов. Не отходя от своего рабочего места, можно управлять всеми доступными компьютерами сети, устранять возникшие неполадки.
История появления
Протокол удаленного рабочего стола, а именно так расшифровывается аббревиатура RDP, появился в далеком 1998 году. Этот проприетарный протокол прикладного уровня, в то время входил в состав ОС Windows NT 4.0 Terminal Server, и позволял реализовать идею удаленного функционирования клиент-серверных приложений. Как вы понимаете, не всегда есть возможность обеспечить все рабочие места мощными компьютерами, а уж в те далекие годы производительность оставляла желать лучшего.
Решением этой проблемы выступает следующая конструкция: мощный сервер (или кластер серверов) осуществляет основную массу операций вычислений, а маломощные клиентские компьютеры/приложения подключаются к нему, используя протокол RDP, осуществляют свои задачи. Таким образом, на конечных пользовательских узлах появилась возможность работать со сложными приложениями и программами, даже при наличии ограниченных ресурсов — ведь основная нагрузка ложилась на сервер, а клиентский ПК получал только основной результат операции на мониторе.
Описание протокола RDP
- По умолчанию, для подключения используется порт TCP 3389
- Как уже упомянуто выше, при подключении предоставляется возможность работать с файлами на удаленном машине
- Для обеспечения безопасности реализовано шифрование и 56 и 128 битным ключами
- Также для функций безопасности, используется возможности протоколов TLS
- Общий буфер обмена — вы можете копировать данные и удаленной машины, и вставлять их на локальный ПК.
- Реализована возможность подключения локальных ресурсов к удаленному ПК.
- Протокол RDP предоставляет доступ к портам локального компьютера (последовательные и параллельные)
Принцип работы
Протокола RDP берет за основу функции стека протоколов TCP. Первым делом, устанавливается соединение между клиентом и сервером на транспортном уровне. Затем происходит инициация сессии RDP — на этом этапе согласовываются основные параметры: шифрование, подключенные устройства, настройки графики и тд.
После того, как все настроено, сессия RDP полностью готова к работе. На клиентский ПК от сервера поступает графическое изображение (результат операций), которые происходят в результате отправки команд с клавиатуры или мыши.
Аутентификация
Если настроена система обеспечения безопасности протокола RDP, аутентификация происходит следующим образом:
- При инициализации подключения формируется пара RSA ключей
- Далее создается специальный сертификат открытого ключа
- Операционная система проводит процесс подписи сертификата RSA ключем
- Далее клиент осуществляем подключение к серверу, получает от него сертификат, и если тот проходит проверку, инициализируется сессия удаленного управления
Как запустить
В операционных системах, таких как Windows XP, Vista, Seven, по умолчанию включено клиентское ПО Remote Desktop Connection. Для его запуска вам необходимо нажать сочетание клавиш Win+R , набрать mstsc и нажать Enter .
Всем привет, продолжаем рассматривать тему про . Сегодня мы с вами рассмотрим встроенное средство Windows, позволяющее подключиться к удаленному ПК. Данное средство называется RDP (Remote Desktop Protocol) клиент, если перевести на Русский — протокол удаленного рабочего стола. По данному протоколу можно управлять удаленным компьютером, на котором запущен сервис терминальных подключений. RDP клиент появился еще в Windows XP и до сих пор, поддерживается в новых версиях операционной системы. Скорее всего, многие из вас, даже не знают, что это такое, а ведь при помощи данного средства, можно без труда подключиться к удаленному компьютеру и управлять им. В статье я вам подробно расскажу, как выполнять подключение к удаленному рабочему столу в локальной сети. Поэтому, читайте текст полностью.
Подготовка перед использованием RDP клиента.
В большинстве случаев, RDP клиент используют при работе в одной локальной сети. Например, чтобы дома с одного компьютера подключиться к другому, необходимо, чтобы они были подключены к одному и тому же роутеру. Так же есть возможность подключиться к удаленному компьютеру по интернету, но это более сложный способ настройки, думаю разберем данную тему в отдельной статье.
Первое, что необходимо сделать, чтобы выполнить подключение по Remote Desktop Protocol необходимо знать IP адрес удаленного компьютера. Как правило, если сетевое подключение на ваших компьютерах настраивается автоматически, то при каждой перезагрузке операционной системы, IP адреса будут меняться. Поэтому, первым делом, мы с вами задаем статические адреса для всех устройств в вашей локальной сети. Но для начала, необходимо посмотреть, какие адреса, получает компьютер автоматически. Для этого . Прописываем команду «ipconfig» и видим, какие: маска сети, маска подсети и шлюз получает сетевая карта при автоматических настройках.
Обратите внимание! Как правило, на всех роутерах по умолчанию маска сети имеет вид (192.168.0. или 192.168.1.) соответственно, прописываем все строки как показано на скриншоте и сохраняем изменения.
Все, теперь мы с вами задали для нашего компьютера статический IP адрес, это позволит нам легко использовать RDP клиент.
Как выдать разрешение, для подключения к удаленному рабочему столу.
После того, как мы с вами разобрались с адресами компьютеров. Переходим к включению функции Remote Desktop Protocol. Данные действия необходимо выполнять на компьютере, к которому вы хотите подключаться. Чтобы все заработало, выполняем действия по шагам:
Мы с вами выполнили все подготовительные действия, чтобы RDP клиент смог у нас заработать. Перейдем теперь непосредственно к рассмотрению процесса подключения.
Выполняем подключение к удаленному компьютеру по RDP.
В предыдущих пунктах мы с вами разобрались с настройками, которые необходимо выполнить для работы по протоколу удаленного рабочего стола. Теперь рассмотрим, как выполнить подключение.
Обратите внимание! Мы будем использовать стандартное средство Windows. Соответственно, нам не придется скачивать какие-то сторонние утилиты, все необходимое будет у нас под рукой.
Для того, чтобы запустить средство «Подключение к удаленному рабочему столу» откройте меню «Пуск» — «Все программы» — «Стандартные – Windows». В открывшемся пункте меню мы запускаем RDP клиент и видим поле под названием «Компьютер». В него необходимо ввести адрес удаленного компьютера, т.е. того, на котором мы задавали статический IP адрес. После нажатия на кнопку подключить, программа попросит вас ввести «Логин и пароль» для подключения к удаленному ПК.
Так же можно открыть дополнительные настройки, для этого откройте пункт «Показать параметры». Здесь можно сразу указать пользователя удаленного компьютера, настроить локальные ресурсы, а также параметры экрана. Но думаю, что лучше все оставить по умолчанию и приступить к управлению удаленным ПК.
RDP клиент -плюсы и минусы.
Скажу честно, использовать RDP клиент мне приходится не так часто, но иногда это просто необходимо. Для себя я определил следующие плюсы:
- Для того, чтобы выполнить соединение с удаленным ПК, вам не потребуется искать и устанавливать какие-либо программы. Все предусмотрено разработчиками компании Майкрософт и средство встроено в операционную систему;
- При помощи удаленного рабочего стола можно получить полный доступ к компьютеру. Что позволяет выполнять на нем любые действия;
- Неограниченное время доступа к удаленному ПК.
На этом, плюсы заканчиваются, переходим к минусам использования данной утилиты:
- Программа корректно работает только в локальной сети, чтобы настроить соединение через интернет, необходимо лезть в настройки роутера для проброса порта, что является проблемой для многих пользователей;
- Если вы используете VPN, то для того, чтобы подключиться к удаленному компьютеру, используя RDP клиент, необходима хорошая скорость интернета, иначе вы будете смотреть слайд шоу;
- Программа имеет минимальный набор функций, а также не имеет встроенного файлового менеджера соответственно передать файлы нет возможности;
Подведем итоги.
Сегодня мы свами рассмотрели RDP клиент для Windows. Данное средство для удаленного подключения к компьютеру, можно рассматривать как альтернативу сторонних программ, таких как , но вряд ли RDP сможет заменить их полностью. Так как встроенное средство не обладает даже всем необходимым набором функций, которые свойственны программам удаленного доступа. Скорость работы оставляет желать лучшего, но зато оно отлично подойдет в тех случаях, когда нет возможности и времени искать и устанавливать другие программы и нужно срочно получить доступ к удаленному ПК.
