Klient RDP pre Windows: inštalácia a konfigurácia. Nastavenie RDP (protokol vzdialenej pracovnej plochy)

Čo je vzdialená plocha

Používanie vzdialenej pracovnej plochy systému Windows (rdp) môže byť veľmi užitočným a pohodlným riešením problému vzdialený prístup k počítaču. Kedy môže byť vzdialená plocha užitočná? Ak chcete ovládať svoj počítač na diaľku (buď z lokálnej siete alebo odkiaľkoľvek na svete). Samozrejme, na tieto účely možno použiť aj tretie strany, ako napríklad a iné. Tieto programy však často vyžadujú potvrdenie prístupu na strane vzdialeného počítača, nie sú vhodné na súčasné paralelné používanie počítača viacerými používateľmi a napriek tomu fungujú pomalšie ako vzdialená plocha. Preto sú takéto programy vhodnejšie na vzdialenú pomoc alebo údržbu, nie však na každodennú prácu.

Môže byť celkom pohodlné použiť vzdialenú plochu, ktorá používateľom umožní pracovať s určitými programami. Napríklad, ak potrebujete demonštrovať fungovanie programu vzdialenému používateľovi (poskytnite demo prístup na testovanie). Alebo napríklad máte v kancelárii len jeden výkonný počítač, na ktorom je nainštalovaný náročný program. Na iných slabých počítačoch sa spomalí, ale prístup potrebuje každý. Potom by bolo dobrým riešením použiť vzdialenú plochu: každý zo svojich „mŕtvych“ počítačov sa pripojí cez rdp k výkonnému počítaču a používa na ňom program bez toho, aby sa navzájom rušili.

Statická IP adresa. Čo je potrebné pre vzdialený prístup cez rdp

Jeden z dôležitých bodov týkajúcich sa nastavenie a následné používanie vzdialenej plochy je potreba statickej IP adresy na vzdialenom počítači. Ak si nastavujete vzdialenú plochu, ktorá sa bude používať len v rámci lokálnej siete, tak nie je problém. Vzdialená plocha sa však používa najmä na externý prístup. Väčšina poskytovateľov poskytuje predplatiteľom dynamické adresy IP a na bežné použitie to stačí. Statické („biele“) IP sú zvyčajne poskytované za príplatok.

Nastavenie vzdialenej pracovnej plochy systému Windows

No, prišli sme na to, prečo potrebujeme vzdialenú plochu. Teraz to začneme nastavovať. Tu diskutované pokyny sú vhodné pre Windows 7, 8, 8.1, 10. Vo všetkých uvedených operačných systémoch sú nastavenia podobné, rozdiely sú menšie a iba v spôsobe otvárania niektorých okien.

Najprv musíme nakonfigurovať počítač, ku ktorému sa pripojíme.

Pozor! Váš účet musí mať práva správcu.

1. Otvorte Štart - Ovládací panel .

Vo Windows 8.1 a 10 je pohodlné otváranie Ovládací panel kliknutím pravým tlačidlom myši na ikonu Štart a výberom zo zoznamu Ovládací panel .

Ďalej vyberte systém a bezpečnosť - Systém. (Toto okno je možné otvoriť aj iným spôsobom: kliknutím Štart a potom kliknite pravým tlačidlom myši na Počítač a vyberte si Vlastnosti ).

Nastavenie vzdialeného prístupu .

3. V sekcii Vzdialená plocha vyberte si:

- Povoliť pripojenia iba z počítačov so vzdialenou pracovnou plochou s overením na úrovni siete . Vhodné pre klientov s verziou 7.0 vzdialenej pracovnej plochy.

- . Vhodné na pripojenie starších verzií klientov.

4. Kliknite Použiť .

5. Tlačidlom Vyberte používateľov Otvorí sa okno, v ktorom môžete určiť účty v počítači, ktorým bude povolené vzdialené pripojenie. (Tento postup sa tiež nazýva pridanie používateľa do skupiny )

Používatelia s právami správcu majú štandardne prístup vzdialeného pracovníka. Avšak okrem skutočného pripojenia musí byť každý účet chránený heslom, dokonca aj účet správcu.

6. Pridať do skupiny Používatelia vzdialenej plochy nový používateľ s normálnymi právami (nie správca). Ak to chcete urobiť, stlačte tlačidlo Pridať

V teréne Zadajte mená z vybraných objektov zadajte meno nášho užívateľa. mám toto Prístup1. Poďme kliknúť Skontrolujte mená .

Ak je všetko správne, k používateľskému menu sa pridá názov počítača. Kliknite OK .

Ak si nepamätáme presné používateľské meno alebo ho nechceme zadávať ručne, kliknite Okrem toho .

V okne, ktoré sa otvorí, kliknite na tlačidlo Vyhľadávanie .

V teréne výsledky vyhľadávania Zobrazia sa všetci používatelia počítača a miestne skupiny. Vyberte požadovaného používateľa a kliknite OK .

Keď ste v okne vybrali všetkých požadovaných používateľov Výber: Používatelia stlačte tlačidlo OK .

Teraz k skupine Používatelia vzdialenej plochy bude pridaný používateľ s bežným účtom Prístup1. Ak chcete použiť zmeny, kliknite OK .

7. Ak používate tretiu stranu, budete ju musieť dodatočne nakonfigurovať, konkrétne otvorte port TCP 3389. Ak máte spustený iba vstavaný firewall systému Windows, nemusíte robiť nič, byť nakonfigurovaný automaticky, akonáhle povolíme používanie vzdialenej plochy na počítači.

Tým sa dokončí základné nastavenie vzdialeného počítača.

Nastavenia siete, presmerovanie portov

Ako je uvedené vyššie, pre vzdialený prístup na plochu potrebujete statickú IP adresu.

Ak nemáte žiadne smerovače a internetový kábel ide priamo do počítača, preskočte túto časť a prejdite na ďalšiu. Ak používate smerovač, musíte na ňom vykonať ďalšie nastavenia.

Ak plánujete používať vzdialenú plochu iba v lokálnej sieti, potom bude stačiť len priradiť lokálnu IP požadovanému počítaču (postupujte podľa prvej časti, bez presmerovania portov). Ak potrebujete prístup zvonku, potrebujete aj . Ak chcete otvoriť prístup k vzdialenej ploche, musíte presmerovať port TCP 3389.

Nastavenie pripojenia vzdialenej pracovnej plochy

Poďme priamo na pripojenie k vzdialenej ploche, teda nastavenia na strane klienta.

1. Spustíme .

Môžete to urobiť v systéme Windows 7 prostredníctvom ponuky Štart - Všetky programy - Štandardné - Pripojenie vzdialenej pracovnej plochy .

V systéme Windows 8 je vhodné spustiť vyhľadávanie. Kliknite Štart, kliknite na ikonu lupy v pravom hornom rohu a do vyhľadávacieho poľa začnite zadávať slovo „vymazané“. Z navrhovaných možností vyhľadávania vyberte Pripojenie vzdialenej pracovnej plochy .

V systéme Windows 10: Štart - Všetky aplikácie - Štandardné Windows - Pripojenie vzdialenej pracovnej plochy .

2. Najprv skontrolujte, ktorá verzia protokolu je nainštalovaná. Ak to chcete urobiť, kliknite na ikonu v ľavom hornom rohu a vyberte položku O programe .

Kontrola verzie desktopového protokolu. Ak je 7.0 alebo vyšší, potom je všetko v poriadku, môžete sa pripojiť.

Ak je verzia protokolu nižšia (je to možné na starších verziách systému Windows), musíte ju buď aktualizovať, alebo znížiť úroveň zabezpečenia v nastaveniach vzdialeného počítača (t.j. Povoliť pripojenia z počítačov s akoukoľvek verziou vzdialenej pracovnej plochy (nebezpečnejšia) ).

Aktualizácie vzdialenej pracovnej plochy pre staršie operačné systémy si môžete stiahnuť pomocou odkazov nižšie:

3. Zadajte parametre pripojenia:

V teréne Počítač Zaregistrujeme IP adresu vzdialeného počítača, ku ktorému sa ideme pripojiť. (Lokálna – ak sa pripájame v rámci lokálnej siete a reálna (tá, ktorú udáva poskytovateľ internetu), ak sa vzdialený počítač nachádza mimo lokálnej siete). Mám prvú možnosť.

Poznámka. Akú externú statickú IP adresu máte, zistíte napríklad prostredníctvom služby Yandex.Internetometer.

4. Kliknite Pripojiť .

Zobrazí sa výzva na zadanie prihlasovacích údajov. Zadajte prihlasovacie meno a heslo ľubovoľného používateľa na vzdialenom počítači, ktorý má práva na používanie vzdialenej pracovnej plochy. V mojom príklade je Admin alebo Prístup1. Pripomínam, že účty musia byť chránené heslom.

Zadajte svoje používateľské meno a heslo a začiarknite políčko vedľa neho Zapamätajte si poverenia , aby ste ich nezadali pri ďalšom pripojení. Prihlasovacie údaje si samozrejme môžete zapamätať iba vtedy, ak pracujete z osobného počítača, ktorý nie je prístupný neoprávneným osobám.

Kliknite OK .

Zobrazí sa varovanie. Dajte kliešť Už viac nežiadajte o pripojenie k tomuto počítaču a stlačte Áno .

Ak je všetko vykonané správne, pred vami sa zobrazí vzdialená plocha.

Poznámka. Pripomínam, že sa nemôžete súčasne pripojiť prostredníctvom vzdialenej práce z viacerých počítačov pod jedným používateľom. To znamená, že ak sa plánuje, že so vzdialeným počítačom bude pracovať niekoľko ľudí súčasne, potom pre každého budete musieť vytvoriť samostatného používateľa a udeliť práva na používanie vzdialenej pracovnej plochy. Toto sa vykonáva na vzdialenom počítači, ako je uvedené na začiatku článku.

Ďalšie nastavenia vzdialenej pracovnej plochy

Teraz pár slov o ďalších nastaveniach pripojenia k vzdialenej ploche.

Ak chcete otvoriť ponuku nastavení, kliknite na možnosti .

Karta Všeobecné

Tu môžete zmeniť nastavenia pripojenia. Kliknutím na odkaz upraviť môžete upraviť meno používateľa a heslo pripojenia.

Už nakonfigurované nastavenia pripojenia môžete uložiť. Kliknite na tlačidlo Uložiť ako a vyberte si miesto, napr. Desktop . Teraz Desktop Objaví sa skratka, ktorá okamžite spustí pripojenie k vzdialenej ploche bez potreby zadávania parametrov. To je veľmi výhodné, najmä ak pravidelne pracujete s niekoľkými vzdialenými počítačmi alebo ak si ho nenakonfigurujete pre seba a nechcete zmiasť používateľov.

Karta obrazovky

Na karte Obrazovka môžete určiť veľkosť vzdialenej plochy (či bude zaberať celú obrazovku vášho monitora alebo sa zobrazí v malom samostatnom okne).

Môžete si tiež zvoliť farebnú hĺbku. Ak je rýchlosť vášho internetového pripojenia nízka, odporúča sa zvoliť nižšiu hĺbku.

Karta Miestne zdroje

Tu môžete konfigurovať parametre zvuku (prehrať ho na vzdialenom počítači alebo na klientskom počítači atď.), poradie používania kombinácií klávesových skratiek Windows (napríklad Ctrl+Alt+Del, Ctrl+C atď.) pri práci s vzdialenej ploche.

Jedna z najužitočnejších sekcií je tu Miestne zariadenia a zdroje . Zaškrtnutím políčka Tlačiareň, získate možnosť tlačiť dokumenty zo vzdialenej plochy na lokálnu tlačiareň. Fajka Schránka aktivuje jedinú schránku medzi vzdialenou pracovnou plochou a počítačom. To znamená, že na prenos súborov, priečinkov atď. môžete použiť bežné operácie kopírovania a vkladania. zo vzdialeného počítača na váš a naopak.

Kliknutím na tlačidlo Viac informácií, dostanete sa do ponuky nastavení, kde môžete pripojiť ďalšie zariadenia v počítači k vzdialenej ploche.

Napríklad pri práci na vzdialenom počítači chcete mať prístup k svojmu disku D. Potom kliknite na znamienko plus oproti Zariadenia rozbaľte zoznam a začiarknite disk D. Kliknite OK .

Teraz, keď sa pripojíte k vzdialenej ploche, uvidíte a budete mať prístup k svojmu disku D cez Dirigent ako keby bol fyzicky pripojený k vzdialenému počítaču.

Karta Rozšírené

Tu si môžete zvoliť rýchlosť pripojenia pre dosiahnutie maximálneho výkonu, ako aj nastaviť zobrazenie pozadia pracovnej plochy, vizuálne efekty atď.

Odstránenie pripojenia vzdialenej pracovnej plochy

Na záver pouvažujme ako odstrániť pripojenie k vzdialenej ploche. Kedy je to potrebné? Napríklad ste mali vzdialený prístup k počítaču, ale teraz to nie je potrebné, alebo dokonca musíte zabrániť cudzím ľuďom pripojiť sa k vzdialenej ploche vášho počítača. Je to veľmi jednoduché.

1. Otvorte Ovládací panel - systém a bezpečnosť - Systém, ako to urobili na začiatku článku.

2. V ľavom stĺpci kliknite na Nastavenie vzdialeného prístupu .

3. V sekcii Vzdialená plocha vyberte si:

- Nepovoliť pripojenia k tomuto počítaču

Pripravený. Teraz sa k vám nikto nebude môcť pripojiť cez vzdialenú plochu.

Vzdialená plocha je funkcionalita operačného systému, ktorá vám umožňuje spravovať vzdialený počítač v reálnom čase pomocou lokálnej siete alebo internetu ako média na prenos údajov. Existuje veľké množstvo implementácií vzdialenej pracovnej plochy v závislosti od protokolu alebo operačného systému. Najbežnejším riešením v operačnom systéme Windows je protokol RDP (Remote Desktop Protocol) av systémoch založených na jadre Linuxu - VNC a X11.

Ako povoliť funkciu vzdialenej pracovnej plochy

V predvolenom nastavení je možnosť stať sa serverom relácie RDP na pracovnej stanici Windows zakázaná.

Kliknite pravým tlačidlom myši na ikonu „Tento počítač“ a v kontextovej ponuke vyberte položku „Vlastnosti“.

V ľavom menu vyberte položku „Nastavenie vzdialeného prístupu“. To si bude vyžadovať oprávnenia správcu.

Otvorí sa okno „Vlastnosti systému“, v ktorom na karte „Vzdialený prístup“ musíte nastaviť oprávnenie na prístup k tomuto počítaču, ako je uvedené na obrázku nižšie.

V prípade potreby si môžete vybrať užívateľov, pod ktorými sa môžete prihlásiť do systému.

Okrem toho, ak máte nainštalovaný sieťový filter (Firewall), budete musieť vytvoriť povoľujúce pravidlo pre pripojenie k tomuto počítaču vo vlastnostiach sieťového adaptéra alebo v aplete Windows Firewall v ovládacom paneli.

Ako sa pripojiť k vzdialenej ploche

Existuje niekoľko spôsobov, ako sa pripojiť k vzdialenej ploche. Prejdite do hlavnej ponuky systému „Štart – Všetky programy – Príslušenstvo – Pripojenie k vzdialenej ploche“

Alebo spustite príkaz v príkazovom riadku systému Windows (alebo v okne Vykonať»)

Obe tieto metódy sú ekvivalentné a spúšťajú rovnaký program – Sprievodcu pripojením vzdialenej pracovnej plochy.

V okne sprievodcu môžete zadať názov alebo IP adresu počítača, ku ktorému sa chcete pripojiť, ako aj zadať špeciálne parametre, ako je rozlíšenie obrazovky, prenos lokálnych (schránka, lokálne disky) alebo vzdialených (zvuky) zdrojov. .

Zadajte IP adresu vzdialeného uzla a stlačte tlačidlo „ Pripojiť».

S najväčšou pravdepodobnosťou uvidíme varovanie o problémoch s autentifikáciou vzdialeného počítača. Ak sme si istí, že sme neurobili chybu pri hláskovaní adresy alebo mena, môžeme kliknúť na „Áno“, po ktorom sa inicializuje pripojenie k uzlu.

Budete tiež musieť zadať poverenia vzdialeného používateľa.

Ak sme nikde neurobili chybu, po určitom čase uvidíme pracovnú plochu vzdialeného počítača, kde môžeme vykonať určité akcie. Ovládajte ukazovateľ myši, zadávajte znaky z klávesnice atď.

Ako už bolo spomenuté, pre pohodlie správy systému môžeme preniesť lokálne zdroje, ako sú tlačiarne, logické jednotky alebo schránku, na vzdialený počítač.

Ak to chcete urobiť, v okne Sprievodca pripojením vzdialenej pracovnej plochy prejdite na kartu „Miestne zdroje“ a kliknite na tlačidlo „Ďalšie podrobnosti...“.

A v okne, ktoré sa otvorí, vyberte napríklad Lokálny disk (C:).

Teraz pri pripájaní vzdialenej pracovnej plochy uvidíme náš lokálny disk (C:) počítača, z ktorého je pripojenie vytvorené.

Ako zvýšiť bezpečnosť vzdialenej pracovnej plochy

Nie je žiadnym tajomstvom, že nechať počítač s aktivovanou vzdialenou plochou a pripojeným k internetu nie je bezpečné. Faktom je, že rôzne typy útočníkov neustále skenujú rozsahy sieťových adries pri hľadaní spustených sieťových služieb (vrátane vzdialenej plochy) s cieľom ich ďalšieho hackovania.

Jedným zo spôsobov, ktorý môže útočníkovi sťažiť nájdenie spustenej služby Terminal Services (RDP), je zmena štandardného čísla portu na inú hodnotu. V predvolenom nastavení služba RDP počúva na sieťovom porte 3389/TCP a čaká na prichádzajúce pripojenie. Práve na tento port sa útočníci pokúšajú pripojiť ako prvý. S takmer 100% istotou môžeme povedať, že ak je na počítači otvorený port s týmto číslom, tak na ňom beží systém Windows s povoleným vzdialeným prístupom.

Pozor! Ďalšie akcie so systémovým registrom sa musia vykonávať veľmi opatrne. Zmena určitých nastavení môže spôsobiť nefunkčnosť operačného systému.

Ak chcete zmeniť číslo portu vzdialenej pracovnej plochy, musíte otvoriť editor databázy Registry a otvoriť sekciu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Potom nájdite REG_DWORD parameter PortNumber a zmeňte jeho hodnotu v desiatkovej sústave na ľubovoľné číslo (od 1024 do 65535).

Po zmene hodnoty by sa mal počítač reštartovať. Teraz, ak chcete získať prístup k vzdialenej ploche, musíte dodatočne zadať náš port pomocou dvojbodky. V tejto situácii musíte zadať názov počítača 10.0.0.119:33321

Útočníci, ktorí vyskúšali štandardný port, pravdepodobne dospejú k záveru, že vzdialený prístup cez protokol RDP nie je na tomto počítači povolený. Táto metóda vás samozrejme nezachráni pred cielenými útokmi, keď je každý sieťový port starostlivo kontrolovaný pri hľadaní medzery, ale ochráni vás pred masívnymi útokmi šablón.

Okrem toho musíte použiť pomerne zložité a dlhé heslo pre tie účty, ktoré majú povolený prístup cez vzdialenú plochu.

Mnoho používateľov, ktorí používajú relácie vzdialeného prístupu, má pomerne často otázku, ako zmeniť port RDP. Teraz sa pozrime na najjednoduchšie riešenia a tiež uveďte niekoľko hlavných fáz procesu nastavenia.

Na čo slúži protokol RDP?

Najprv pár slov o RDP. Ak sa pozriete na dekódovanie skratky, môžete pochopiť, že vzdialený prístup

Jednoducho povedané, ide o nástroj pre terminálový server alebo pracovnú stanicu. Nastavenia systému Windows (a ľubovoľná verzia systému) používajú predvolené nastavenia, ktoré vyhovujú väčšine používateľov. Niekedy je však potrebné ich zmeniť.

Štandardný port RDP: mal by sa zmeniť?

Takže bez ohľadu na modifikáciu systému Windows majú všetky protokoly prednastavený význam. Ide o RDP port 3389, ktorý sa používa na uskutočnenie komunikačnej relácie (prepojenie jedného terminálu so vzdialenými).

Aký je dôvod situácie, keď je potrebné zmeniť štandardnú hodnotu? V prvom rade len so zaistením bezpečnosti lokálneho počítača. Koniec koncov, ak sa na to pozriete, so štandardným nainštalovaným portom môže v zásade každý útočník ľahko preniknúť do systému. Takže teraz sa pozrime, ako zmeniť predvolený port RDP.

Zmena nastavení v systémovom registri

Okamžite si všimnime, že postup zmeny sa vykonáva výlučne v manuálnom režime a samotný klient vzdialeného prístupu neposkytuje žiadne resetovanie ani inštaláciu nových parametrov.

Najprv zavolajte štandardný editor registra pomocou príkazu regedit v ponuke „Spustiť“ (Win + R). Tu nás zaujíma vetva HKLM, v ktorej musíme prejsť nadol v strome oddielov cez adresár terminálového servera do adresára RDP-Tcp. V okne napravo nájdeme kľúč PortNumber. Je to jeho význam, ktorý musíme zmeniť.

Ideme do úprav a vidíme tam 00000D3D. Mnoho ľudí je okamžite zmätených, čo to je. A toto je jednoducho hexadecimálne znázornenie desiatkového čísla 3389. Na označenie portu v desiatkovej forme použijeme zodpovedajúci riadok na zobrazenie reprezentácie hodnoty a potom špecifikujeme parameter, ktorý potrebujeme.

Potom reštartujeme systém a pri pokuse o pripojenie zadajte nový port RDP. Ďalším spôsobom pripojenia je použitie špeciálneho príkazu mstsc /v:ip_address:XXXXX, kde XXXXX je nové číslo portu. To však nie je všetko.

Pravidlá brány Windows Firewall

Bohužiaľ, vstavaný firewall systému Windows môže blokovať nový port. To znamená, že musíte vykonať zmeny v nastaveniach samotného firewallu.

Vyvolajte nastavenia brány firewall s pokročilými nastaveniami zabezpečenia. Tu by ste mali najskôr vybrať prichádzajúce spojenia a kliknutím na riadok vytvoriť nové pravidlo. Teraz vyberieme položku na vytvorenie pravidla pre port, potom zadáme jeho hodnotu pre TCP, následne povolíme pripojenie, sekciu profilov necháme nezmenenú a nakoniec priradíme názov novému pravidlu, po čom klikneme na tlačidlo kompletnej konfigurácie. Zostáva iba reštartovať server a pri pripájaní zadať nový port RDP cez dvojbodku v príslušnom riadku. Teoreticky by nemali byť žiadne problémy.

Preposielanie portu RDP na smerovači

V niektorých prípadoch, keď namiesto káblového pripojenia používate bezdrôtové pripojenie, možno budete musieť presmerovať port na smerovači. Nie je na tom nič zložité.

Po prvé, vo vlastnostiach systému povoľujeme a označujeme používateľov, ktorí na to majú právo. Potom prejdite cez prehliadač do ponuky nastavení smerovača (192.168.1.1 alebo na konci 0.1 - všetko závisí od modelu smerovača). V poli (ak je naša hlavná adresa 1.1) je vhodné uviesť adresu počnúc treťou (1.3) a napísať pravidlo pre pridelenie adresy pre druhú (1.2).

Potom v sieťových pripojeniach používame zobrazenie podrobností, kde by ste si mali pozrieť podrobnosti, odtiaľ skopírovať fyzickú MAC adresu a vložiť ju do parametrov smerovača.

Teraz v sekcii nastavení NAT na modeme povoľte pripojenie k serveru, pridajte pravidlo a zadajte port XXXXX, ktorý je potrebné presmerovať na štandardný port RDP 3389. Uložte zmeny a reštartujte smerovač (nový port bude nebudú prijaté bez reštartu). Pripojenie si môžete skontrolovať na niektorom špecializovanom webe ako ping.eu v sekcii testovanie portov. Ako vidíte, všetko je jednoduché.

Nakoniec si všimnite, že hodnoty portov sú distribuované takto:

0 - 1023 - porty pre nízkoúrovňové systémové programy;
1024 - 49151 - prístavy pridelené na súkromné účely;
49152 - 65535 - dynamické súkromné porty.

Vo všeobecnosti mnohí používatelia zvyčajne vyberajú porty RDP z tretieho rozsahu zoznamu, aby sa vyhli problémom. Špecialisti aj odborníci však odporúčajú používať tieto hodnoty v nastaveniach, pretože sú vhodné pre väčšinu úloh.

Čo sa týka tohto konkrétneho postupu, ten sa využíva hlavne len v prípadoch Wi-Fi pripojenia. Ako už vidíte, pri bežnom káblovom pripojení to nie je potrebné: stačí zmeniť hodnoty kľúčov databázy Registry a pridať pravidlá pre port vo bráne firewall.

Tento článok začína sériu článkov venovaných návrhu a bezpečnosti protokolu RDP. Prvý článok tejto série analyzuje dizajn, použitie a hlavné technológie vložené do tohto protokolu.

Tento článok začína sériu článkov venovaných návrhu a bezpečnosti protokolu RDP. Prvý článok tejto série analyzuje dizajn, použitie a hlavné technológie vložené do tohto protokolu.

Nasledujúce články budú podrobne diskutovať o nasledujúcich problémoch:

Prevádzka bezpečnostného podsystému vzdialenej pracovnej plochy
Formát výmeny informácií o službách v RDP
Zraniteľnosť terminálového servera a spôsoby ich odstránenia
Výber používateľských účtov pomocou protokolu RDP (vyvinutý spoločnosťou Positive Technologies v tejto oblasti)

História RDP

Protokol Remote Desktop bol vytvorený spoločnosťou Microsoft na poskytovanie vzdialeného prístupu k serverom a pracovným staniciam Windows. Protokol RDP je navrhnutý tak, aby zdieľal zdroje vysokovýkonného terminálového servera s mnohými menej výkonnými pracovnými stanicami. Prvý terminálový server (verzia 4.0) sa objavil v roku 1998 ako súčasť Windows NT 4.0 Terminal Server; v čase písania tohto článku (január 2009) je najnovšou verziou terminálového servera verzia 6.1, ktorá je súčasťou Windows 2008 Server a Windows Vista. distribúcie SP1. V súčasnosti je RDP hlavným protokolom vzdialeného prístupu pre systémy rodiny Windows a klientske aplikácie existujú pre Microsoft OS aj Linux, FreeBSD, MAC OS X atď.

Keď hovoríme o histórii RDP, nemožno nespomenúť Citrix. Spoločnosť Citrix Systems sa v 90. rokoch špecializovala na systémy pre viacerých používateľov a technológie vzdialeného prístupu. Po získaní licencie zdrojového kódu Windows NT 3.51 v roku 1995 spoločnosť vydala viacužívateľskú verziu Windows NT známu ako WinFrame. V roku 1997 Citrix Systems a Microsoft uzavreli dohodu, podľa ktorej bolo prostredie pre viacerých používateľov Windows NT 4.0 založené na vývoji technológie Citrix. Citrix Systems na druhej strane odmietol distribuovať plnohodnotný operačný systém a získal právo na vývoj a implementáciu rozšírení pre produkty Microsoftu. Tieto rozšírenia sa pôvodne nazývali MetaFrame. Práva na ICA (Independent Computing Architecture), aplikačný protokol na interakciu medzi tenkými klientmi a aplikačným serverom Citrix, zostali spoločnosti Citrix Systems a protokol Microsoft RDP bol založený na ITU T.120.

V súčasnosti je hlavná konkurencia medzi Citrixom a Microsoftom v oblasti aplikačných serverov pre malé a stredné podniky. Riešenia založené na terminálových službách tradične vyhrávajú v systémoch s nie príliš veľkým počtom serverov rovnakého typu a podobných konfigurácií, zatiaľ čo Citrix Systems je pevne etablovaný na trhu komplexných a vysokovýkonných systémov. Konkurenciu poháňa uvoľnenie ľahkých riešení pre malé systémy od Citrix a neustále rozširovanie funkčnosti terminálových služieb od Microsoftu.

Pozrime sa na výhody týchto riešení.

Silné stránky terminálových služieb:

Jednoduchá inštalácia aplikácií na klientskej strane aplikačného servera
Centralizovaná údržba používateľských relácií
Vyžaduje licenciu len pre terminálové služby

Silné stránky riešení Citrix:

Jednoduché škálovanie
Jednoduchosť administrácie a monitorovania
Politika kontroly prístupu
Podpora pre podnikové produkty tretích strán (IBM WebSphere, BEA WebLogic)

Návrh siete pomocou terminálových služieb

Spoločnosť Microsoft navrhuje dva režimy používania protokolu RDP:

pre správu (režim vzdialenej správy)
na prístup k aplikačnému serveru (režim terminálového servera)

RDP v režime správy

Tento typ pripojenia používajú všetky moderné operačné systémy Microsoft. Serverové verzie systému Windows podporujú súčasne dve vzdialené pripojenia a jedno lokálne prihlásenie, zatiaľ čo klientske verzie podporujú iba jedno prihlásenie (miestne alebo vzdialené). Ak chcete povoliť vzdialené pripojenia, musíte povoliť prístup k vzdialenej ploche vo vlastnostiach pracovnej stanice.

RDP v režime prístupu k terminálovému serveru

Tento režim je dostupný iba v serverových verziách systému Windows. Počet vzdialených pripojení v tomto prípade nie je obmedzený, je však potrebná konfigurácia licenčného servera a jeho následná aktivácia. Licenčný server môže byť nainštalovaný buď na terminálovom serveri alebo na samostatnom sieťovom uzle. Možnosť vzdialeného prístupu k terminálovému serveru je dostupná až po nainštalovaní príslušných licencií na licenčný server.

Pri použití klastra terminálových serverov a vyvažovania záťaže je potrebná inštalácia špecializovaného servera pripojenia (Session Directory Service). Tento server indexuje užívateľské relácie, čo vám umožňuje prihlásiť sa, ako aj znova prihlásiť na terminálové servery pracujúce v distribuovanom prostredí.

Ako funguje RDP

Vzdialená plocha je aplikačný protokol založený na TCP. Po nadviazaní spojenia sa na transportnej vrstve inicializuje relácia RDP, v rámci ktorej sa dohodnú rôzne parametre prenosu údajov. Po úspešnom dokončení inicializačnej fázy začne terminálový server odosielať grafický výstup klientovi a čaká na vstup z klávesnice a myši. Grafickým výstupom môže byť presná kópia grafickej obrazovky, prenášajúca obraz aj príkazy na kreslenie grafických primitív (obdĺžnik, čiara, elipsa, text atď.). Prenos výstupu pomocou primitív je prioritou protokolu RDP, pretože výrazne šetrí prevádzku; a obraz sa prenesie len vtedy, ak to z nejakého dôvodu inak nie je možné (pri nastavovaní relácie RDP nebolo možné dohodnúť parametre na vysielanie primitív). Klient RDP spracováva prijaté príkazy a zobrazuje obrázky pomocou svojho grafického subsystému. V predvolenom nastavení sa užívateľský vstup prenáša pomocou skenovacích kódov klávesnice. Signál na stlačenie a uvoľnenie klávesy sa prenáša samostatne pomocou špeciálneho príznaku.

RDP podporuje viacero virtuálnych kanálov v rámci jedného pripojenia, ktoré možno použiť na poskytovanie dodatočných funkcií:

pomocou tlačiarne alebo sériového portu
presmerovanie súborového systému
Podpora schránky
pomocou audio subsystému

Charakteristiky virtuálnych kanálov sa dohodnú počas fázy nastavenia pripojenia.

Zabezpečenie bezpečnosti pri používaní RDP

Špecifikácia protokolu RDP vyžaduje jeden z dvoch bezpečnostných prístupov:

Štandardné zabezpečenie RDP (vstavaný bezpečnostný subsystém)
Vylepšená bezpečnosť RDP (externý bezpečnostný subsystém)

Štandardné zabezpečenie RDP

S týmto prístupom sa autentifikácia, šifrovanie a zabezpečenie integrity implementujú pomocou prostriedkov zabudovaných do protokolu RDP.

Overenie

Autentifikácia servera sa vykonáva takto:

Po spustení systému sa vygeneruje pár RSA kľúčov
Vytvorí sa vlastnícky certifikát verejného kľúča
Certifikát je podpísaný kľúčom RSA pevne zakódovaným do operačného systému (akýkoľvek klient RDP obsahuje verejný kľúč tohto vstavaného kľúča RSA).
Klient sa pripojí k terminálovému serveru a dostane proprietárny certifikát
Klient overí certifikát a dostane verejný kľúč servera (tento kľúč sa neskôr použije na vyjednanie parametrov šifrovania)

Autentifikácia klienta sa vykonáva zadaním používateľského mena a hesla.

Šifrovanie

Ako šifrovací algoritmus bola zvolená prúdová šifra RC4. V závislosti od verzie operačného systému sú k dispozícii rôzne dĺžky kľúčov od 40 do 168 bitov.

Maximálna dĺžka kľúča pre operačné systémy Winodws:

Windows 2000 Server – 56 bit
Windows XP, Windows 2003 Server – 128 bit
Windows Vista, Windows 2008 Server – 168 bit

Pri nadviazaní spojenia sa po odsúhlasení dĺžky vygenerujú dva rôzne kľúče: na šifrovanie dát z klienta a zo servera.

bezúhonnosť

Integrita správ sa dosahuje použitím algoritmu generovania MAC (Message Authentication Code) založeného na algoritmoch MD5 a SHA1.

Počnúc systémom Windows 2003 Server je možné dosiahnuť súlad s FIPS (Federal Information Processing Standard) 140-1 použitím 3DES na šifrovanie správ a algoritmu generovania MAC iba SHA1 na zabezpečenie integrity.

Vylepšená bezpečnosť RDP

Tento prístup využíva externé bezpečnostné moduly:

TLS 1.0
CredSSP

TLS je možné použiť počnúc systémom Windows 2003 Server, ale iba ak ho klient RDP podporuje. Podpora TLS bola pridaná od verzie klienta RDP 6.0.

Pri použití TLS možno certifikát servera vygenerovať pomocou terminálových služieb alebo môžete vybrať existujúci certifikát z úložiska Windows.

Protokol CredSSP je kombináciou funkcionality TLS, Kerberos a NTLM.

Pozrime sa na hlavné výhody protokolu CredSSP:

Kontrola povolenia na prihlásenie do vzdialeného systému pred vytvorením úplného pripojenia RDP, čo vám umožňuje ušetriť prostriedky terminálového servera, keď existuje veľký počet pripojení
Silná autentifikácia a šifrovanie prostredníctvom protokolu TLS
Používanie jediného prihlásenia s protokolom Kerberos alebo NTLM

Funkcie CredSSP je možné používať iba v operačných systémoch Windows Vista a Windows 2008 Server. Tento protokol je povolený príznakom Use Network Level Authentication v nastaveniach terminálového servera (Windows 2008 Server) alebo v nastaveniach vzdialeného prístupu (Windows Vista).

Licenčná schéma terminálových služieb

Pri používaní RDP si prístup k aplikáciám v režime tenkého klienta vyžaduje nastavenie špecializovaného licenčného servera.

Trvalé klientske licencie je možné nainštalovať na server až po dokončení aktivačnej procedúry, pred touto procedúrou je možné vydať dočasné licencie s obmedzenou dobou platnosti. Po aktivácii je licenčnému serveru poskytnutý digitálny certifikát potvrdzujúci jeho vlastníctvo a pravosť. Pomocou tohto certifikátu môže licenčný server vykonávať následné transakcie s databázou Microsoft Clearinghouse a prijímať trvalé licencie CAL pre terminálový server.

Typy klientskych licencií:

dočasná licencia (CAL na dočasný terminálový server)
licencia zariadenia (Device Terminal Server CAL)
používateľská licencia (licencia CAL na používateľský terminálový server)
licencia pre externých používateľov (External Terminal Server Connector)

Dočasná licencia

Tento typ licencie je klientovi vydaný pri prvom pripojení na terminálový server, platnosť licencie je 90 dní. Po úspešnom prihlásení klient pokračuje v práci s dočasnou licenciou a pri ďalšom pripojení terminálového servera sa pokúsi nahradiť dočasnú licenciu trvalou, ak je v úložisku dostupná.

Licencia zariadenia

Táto licencia sa vydáva pre každé fyzické zariadenie, ktoré sa pripája k aplikačnému serveru. Doba platnosti licencie je náhodne nastavená na 52 až 89 dní. 7 dní pred dátumom vypršania platnosti sa terminálový server pokúsi obnoviť licenciu z licenčného servera vždy, keď sa klient znova pripojí.

Používateľská licencia

Licencovanie podľa používateľa poskytuje dodatočnú flexibilitu tým, že umožňuje používateľom pripojiť sa z rôznych zariadení. Aktuálna implementácia Terminálových služieb nemá kontrolu nad používaním užívateľských licencií, t.j. Počet dostupných licencií na licenčnom serveri sa neznižuje, keď sa pripájajú noví používatelia. Používanie nedostatočných licencií pre pripojenia klientov porušuje licenčnú zmluvu spoločnosti Microsoft. Ak chcete na rovnakom terminálovom serveri používať licencie LKP pre zariadenie aj používateľa, server musí byť nakonfigurovaný tak, aby fungoval v režime licencovania pre používateľa.

Licencia pre externých používateľov

Ide o špeciálny typ licencie určený na pripojenie externých používateľov k firemnému terminálovému serveru. Táto licencia neobmedzuje počet pripojení, avšak podľa užívateľskej zmluvy (EULA) musí byť terminálový server pre externé pripojenia vyhradený, čo neumožňuje jeho použitie na obsluhu relácií od firemných používateľov. Vzhľadom na vysokú cenu nie je tento typ licencie veľmi využívaný.

Licenčný server môže mať jednu z dvoch rolí:

Doménový alebo licenčný server pracovnej skupiny
Celý podnikový licenčný server

Roly sa líšia v tom, ako zisťujú licenčný server: pri použití roly Enterprise terminálový server vyhľadá v ActiveDirectory licenčný server, inak sa vyhľadávanie vykoná pomocou vysielacej požiadavky NetBIOS. Každý nájdený server je skontrolovaný na správnosť pomocou požiadavky RPC.

Sľubné technológie Terminálové služby

Riešenia pre aplikačné servery spoločnosť Microsoft aktívne propaguje, rozširuje sa funkčnosť a zavádzajú sa ďalšie moduly. Najväčší rozvoj dosiahli technológie, ktoré zjednodušujú inštaláciu aplikácií a komponentov zodpovedných za prevádzku terminálových serverov v globálnych sieťach.

Nasledujúce funkcie boli zavedené do Terminálových služieb pre Windows 2008 Server.

Čo je vzdialená plocha

Statická IP adresa. Čo je potrebné pre vzdialený prístup cez rdp

Nastavenie vzdialenej pracovnej plochy systému Windows

Najprv musíme nakonfigurovať počítač, ku ktorému sa pripojíme.

Pozor! Váš účet musí mať práva správcu.

1. Otvorte Štart - Ovládací panel .

Vo Windows 8.1 a 10 je pohodlné otváranie Ovládací panel kliknutím pravým tlačidlom myši na ikonu Štart a výberom zo zoznamu Ovládací panel .

Nastavenie vzdialeného prístupu .

3. V sekcii Vzdialená plocha vyberte si:

- Povoliť pripojenia iba z počítačov so vzdialenou pracovnou plochou s overením na úrovni siete . Vhodné pre klientov s verziou 7.0 vzdialenej pracovnej plochy.

- . Vhodné na pripojenie starších verzií klientov.

4. Kliknite Použiť .

Používatelia s právami správcu majú štandardne prístup vzdialeného pracovníka. Avšak okrem skutočného pripojenia musí byť každý účet chránený heslom, dokonca aj účet správcu.

6. Pridať do skupiny Používatelia vzdialenej plochy nový používateľ s normálnymi právami (nie správca). Ak to chcete urobiť, stlačte tlačidlo Pridať

V teréne Zadajte mená z vybraných objektov zadajte meno nášho užívateľa. mám toto Prístup1. Poďme kliknúť Skontrolujte mená .

Ak je všetko správne, k používateľskému menu sa pridá názov počítača. Kliknite OK .

Ak si nepamätáme presné používateľské meno alebo ho nechceme zadávať ručne, kliknite Okrem toho .

V okne, ktoré sa otvorí, kliknite na tlačidlo Vyhľadávanie .

V teréne výsledky vyhľadávania Zobrazia sa všetci používatelia počítača a miestne skupiny. Vyberte požadovaného používateľa a kliknite OK .

Keď ste v okne vybrali všetkých požadovaných používateľov Výber: Používatelia stlačte tlačidlo OK .

Teraz k skupine Používatelia vzdialenej plochy bude pridaný používateľ s bežným účtom Prístup1. Ak chcete použiť zmeny, kliknite OK .

Tým sa dokončí základné nastavenie vzdialeného počítača.

Nastavenia siete, presmerovanie portov

Ako je uvedené vyššie, pre vzdialený prístup na plochu potrebujete statickú IP adresu.

Ak nemáte žiadne smerovače a internetový kábel ide priamo do počítača, preskočte túto časť a prejdite na ďalšiu. Ak používate smerovač, musíte na ňom vykonať ďalšie nastavenia.

Nastavenie pripojenia vzdialenej pracovnej plochy

Poďme priamo na pripojenie k vzdialenej ploche, teda nastavenia na strane klienta.

1. Spustíme .

Môžete to urobiť v systéme Windows 7 prostredníctvom ponuky Štart - Všetky programy - Štandardné - Pripojenie vzdialenej pracovnej plochy .

V systéme Windows 10: Štart - Všetky aplikácie - Štandardné Windows - Pripojenie vzdialenej pracovnej plochy .

2. Najprv skontrolujte, ktorá verzia protokolu je nainštalovaná. Ak to chcete urobiť, kliknite na ikonu v ľavom hornom rohu a vyberte položku O programe .

Kontrola verzie desktopového protokolu. Ak je 7.0 alebo vyšší, potom je všetko v poriadku, môžete sa pripojiť.

Aktualizácie vzdialenej pracovnej plochy pre staršie operačné systémy si môžete stiahnuť pomocou odkazov nižšie:

3. Zadajte parametre pripojenia:

Poznámka. Akú externú statickú IP adresu máte, zistíte napríklad prostredníctvom služby Yandex.Internetometer.

4. Kliknite Pripojiť .

Kliknite OK .

Zobrazí sa varovanie. Dajte kliešť Už viac nežiadajte o pripojenie k tomuto počítaču a stlačte Áno .

Ak je všetko vykonané správne, pred vami sa zobrazí vzdialená plocha.

Ďalšie nastavenia vzdialenej pracovnej plochy

Teraz pár slov o ďalších nastaveniach pripojenia k vzdialenej ploche.

Ak chcete otvoriť ponuku nastavení, kliknite na možnosti .

Karta Všeobecné

Tu môžete zmeniť nastavenia pripojenia. Kliknutím na odkaz upraviť môžete upraviť meno používateľa a heslo pripojenia.

Karta obrazovky

Na karte Obrazovka môžete určiť veľkosť vzdialenej plochy (či bude zaberať celú obrazovku vášho monitora alebo sa zobrazí v malom samostatnom okne).

Môžete si tiež zvoliť farebnú hĺbku. Ak je rýchlosť vášho internetového pripojenia nízka, odporúča sa zvoliť nižšiu hĺbku.

Karta Miestne zdroje

Kliknutím na tlačidlo Viac informácií, dostanete sa do ponuky nastavení, kde môžete pripojiť ďalšie zariadenia v počítači k vzdialenej ploche.

Napríklad pri práci na vzdialenom počítači chcete mať prístup k svojmu disku D. Potom kliknite na znamienko plus oproti Zariadenia rozbaľte zoznam a začiarknite disk D. Kliknite OK .

Teraz, keď sa pripojíte k vzdialenej ploche, uvidíte a budete mať prístup k svojmu disku D cez Dirigent ako keby bol fyzicky pripojený k vzdialenému počítaču.

Karta Rozšírené

Tu si môžete zvoliť rýchlosť pripojenia pre dosiahnutie maximálneho výkonu, ako aj nastaviť zobrazenie pozadia pracovnej plochy, vizuálne efekty atď.

Odstránenie pripojenia vzdialenej pracovnej plochy

1. Otvorte Ovládací panel - systém a bezpečnosť - Systém, ako to urobili na začiatku článku.

2. V ľavom stĺpci kliknite na Nastavenie vzdialeného prístupu .

3. V sekcii Vzdialená plocha vyberte si:

- Nepovoliť pripojenia k tomuto počítaču

Pripravený. Teraz sa k vám nikto nebude môcť pripojiť cez vzdialenú plochu.