অফিসে দূরবর্তী কাজ। RDP, পোর্ট নকিং, Mikrotik: সহজ এবং নিরাপদ

কোভিড-১৯ ভাইরাস মহামারী এবং অনেক দেশে সাধারণ কোয়ারেন্টাইনের কারণে, অনেক কোম্পানির কাজ চালিয়ে যাওয়ার একমাত্র উপায় হল ইন্টারনেটের মাধ্যমে কর্মক্ষেত্রে দূরবর্তী অ্যাক্সেস। দূরবর্তী কাজের জন্য অনেকগুলি তুলনামূলকভাবে নিরাপদ পদ্ধতি রয়েছে - তবে সমস্যার স্কেল বিবেচনা করে, যেকোনো ব্যবহারকারীকে অফিসে দূরবর্তীভাবে সংযোগ করার জন্য একটি সহজ পদ্ধতি প্রয়োজন এবং অতিরিক্ত সেটিংস, ব্যাখ্যা, ক্লান্তিকর পরামর্শ এবং দীর্ঘ নির্দেশাবলীর প্রয়োজন ছাড়াই। এই পদ্ধতিটি অনেক প্রশাসক RDP (রিমোট ডেস্কটপ প্রোটোকল) দ্বারা প্রিয়। RDP-এর মাধ্যমে সরাসরি কর্মক্ষেত্রে সংযোগ করা আদর্শভাবে আমাদের সমস্যার সমাধান করে, মলমের একটি বড় মাছি ছাড়া - ইন্টারনেটের জন্য RDP পোর্ট খোলা রাখা খুবই অনিরাপদ। অতএব, নীচে আমি সুরক্ষার একটি সহজ কিন্তু নির্ভরযোগ্য পদ্ধতি প্রস্তাব করছি।

যেহেতু আমি প্রায়শই ছোট প্রতিষ্ঠানের সাথে দেখা করি যেখানে Mikrotik ডিভাইসগুলি ইন্টারনেট অ্যাক্সেস হিসাবে ব্যবহার করা হয়, নীচে এটি দেখানো হবে কিভাবে Mikrotik-এ এটি প্রয়োগ করা যায়, কিন্তু পোর্ট নকিং সুরক্ষা পদ্ধতিটি অনুরূপ ইনপুট রাউটার সেটিংস এবং ফায়ারওয়াল সহ অন্যান্য উচ্চ-শ্রেণীর ডিভাইসগুলিতে সহজেই প্রয়োগ করা হয়। .

পোর্ট নকিং সম্পর্কে সংক্ষেপে. ইন্টারনেটের সাথে সংযুক্ত একটি নেটওয়ার্কের আদর্শ বাহ্যিক সুরক্ষা হল যখন সমস্ত সংস্থান এবং পোর্টগুলি একটি ফায়ারওয়াল দ্বারা বাইরে থেকে বন্ধ করা হয়। এবং যদিও এই ধরনের একটি কনফিগার করা ফায়ারওয়াল সহ একটি রাউটার বাইরে থেকে আসা প্যাকেটগুলিতে কোনও প্রতিক্রিয়া দেখায় না, তবে এটি তাদের কথা শোনে। অতএব, আপনি রাউটারটি কনফিগার করতে পারেন যাতে বিভিন্ন পোর্টে যখন নেটওয়ার্ক প্যাকেটগুলির একটি নির্দিষ্ট (কোড) ক্রম পাওয়া যায়, তখন এটি (রাউটার) আইপির জন্য যেখান থেকে প্যাকেটগুলি এসেছে নির্দিষ্ট সংস্থানগুলিতে অ্যাক্সেস বন্ধ করে দেয় (পোর্ট, প্রোটোকল, ইত্যাদি)।

এখন ব্যবসায়। আমি Mikrotik-এ ফায়ারওয়াল সেটিংসের বিশদ বিবরণ করব না - ইন্টারনেট এর জন্য উচ্চ-মানের উত্সে পূর্ণ। আদর্শভাবে, ফায়ারওয়াল সমস্ত ইনকামিং প্যাকেট ব্লক করে, কিন্তু

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

প্রতিষ্ঠিত, সম্পর্কিত সংযোগ থেকে আগত ট্র্যাফিকের অনুমতি দেয়।
এখন আমরা Mikrotik-এ পোর্ট নকিং সেট আপ করি:

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

এখন আরো বিস্তারিত:

প্রথম দুটি নিয়ম

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

পোর্ট স্ক্যানিংয়ের সময় কালো তালিকাভুক্ত আইপি ঠিকানাগুলি থেকে ইনকামিং প্যাকেটগুলি নিষিদ্ধ করুন;

তৃতীয় নিয়ম:

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

হোস্টের তালিকায় আইপি যোগ করে যারা সঠিক পোর্টে সঠিক প্রথম নক করেছে (19000);
পরবর্তী চারটি নিয়ম হল:

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

যারা আপনার পোর্ট স্ক্যান করতে চান তাদের জন্য ফাঁদ পোর্ট তৈরি করুন এবং যদি এই ধরনের প্রচেষ্টা সনাক্ত করা হয়, তাদের আইপিকে 60 মিনিটের জন্য কালো তালিকাভুক্ত করুন, এই সময়ে প্রথম দুটি নিয়ম এই ধরনের হোস্টদের সঠিক পোর্টগুলিতে নক করার সুযোগ দেবে না;

পরবর্তী নিয়ম:

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

আইপিকে 1 মিনিটের জন্য অনুমোদিত তালিকায় রাখে (একটি সংযোগ স্থাপনের জন্য যথেষ্ট), যেহেতু দ্বিতীয় সঠিক নকটি পছন্দসই পোর্টে করা হয়েছিল (16000);

পরবর্তী কমান্ড:

move [/ip firewall filter find comment=RemoteRules] 1

আমাদের নিয়মগুলিকে ফায়ারওয়াল প্রসেসিং চেইনের উপরে নিয়ে যায়, যেহেতু সম্ভবত আমাদের ইতিমধ্যেই বিভিন্ন অস্বীকারের নিয়ম কনফিগার করা আছে যা আমাদের নতুন তৈরি হওয়াগুলিকে কাজ করতে বাধা দেবে। Mikrotik-এর প্রথম নিয়মটি শূন্য থেকে শুরু হয়, কিন্তু আমার ডিভাইসে শূন্য একটি অন্তর্নির্মিত নিয়ম দ্বারা দখল করা হয়েছিল এবং এটিকে সরানো অসম্ভব ছিল - আমি এটিকে 1 এ সরানো হয়েছে। তাই, আমরা আমাদের সেটিংস দেখি - যেখানে আপনি এটি সরাতে পারেন এবং পছন্দসই সংখ্যা নির্দেশ করুন।

পরবর্তী সেটিং:

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

একটি নির্বিচারে নির্বাচিত পোর্ট 33890 সাধারন RDP পোর্ট 3389 এবং আমাদের প্রয়োজনীয় কম্পিউটার বা টার্মিনাল সার্ভারের আইপি ফরওয়ার্ড করে। আমরা সমস্ত প্রয়োজনীয় অভ্যন্তরীণ সংস্থানগুলির জন্য এই ধরনের নিয়ম তৈরি করি, বিশেষত অ-মানক (এবং ভিন্ন) বাহ্যিক পোর্ট সেট করা। স্বাভাবিকভাবেই, অভ্যন্তরীণ সংস্থানগুলির আইপি অবশ্যই স্থির বা DHCP সার্ভারে স্থির থাকতে হবে।

এখন আমাদের Mikrotik কনফিগার করা হয়েছে এবং ব্যবহারকারীর জন্য আমাদের অভ্যন্তরীণ RDP-এর সাথে সংযোগ করার জন্য আমাদের একটি সহজ পদ্ধতির প্রয়োজন। যেহেতু আমাদের প্রধানত উইন্ডোজ ব্যবহারকারী আছে, আমরা একটি সাধারণ ব্যাট ফাইল তৈরি করি এবং এটির নাম StartRDP.bat:

1.htm
1.rdp

যথাক্রমে 1.htm নিম্নলিখিত কোড ধারণ করে:

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
нажмите обновить страницу для повторного захода по RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

এতে my_router.sn.mynetname.net-এ অবস্থিত কাল্পনিক ছবির দুটি লিঙ্ক রয়েছে - আমরা আমাদের Mikrotik-এ সক্রিয় করার পরে Mikrotik DDNS সিস্টেম থেকে এই ঠিকানাটি গ্রহণ করি: IP-> ক্লাউড মেনুতে যান - DDNS সক্ষম চেকবক্সটি চেক করুন, প্রয়োগ করুন ক্লিক করুন এবং আমাদের রাউটারের ডিএনএস নামটি অনুলিপি করুন। কিন্তু এটি তখনই প্রয়োজনীয় যখন রাউটারের বাহ্যিক আইপি গতিশীল হয় বা বেশ কয়েকটি ইন্টারনেট সরবরাহকারীর সাথে একটি কনফিগারেশন ব্যবহার করা হয়।

প্রথম লিঙ্কের পোর্ট: 19000 প্রথম পোর্টের সাথে মিলে যায় যেখানে আপনাকে দ্বিতীয়টিতে, যথাক্রমে, দ্বিতীয়টিতে নক করতে হবে। লিঙ্কগুলির মধ্যে একটি সংক্ষিপ্ত নির্দেশনা রয়েছে যা দেখায় যে হঠাৎ সংক্ষিপ্ত নেটওয়ার্ক সমস্যার কারণে আমাদের সংযোগ বিঘ্নিত হলে কী করতে হবে - আমরা পৃষ্ঠাটি রিফ্রেশ করি, আরডিপি পোর্ট আমাদের জন্য 1 মিনিটের জন্য পুনরায় খোলে এবং আমাদের সেশন পুনরুদ্ধার করা হয়। এছাড়াও, img ট্যাগের মধ্যে পাঠ্য ব্রাউজারের জন্য একটি মাইক্রো-বিলম্ব তৈরি করে, যা প্রথম প্যাকেটটি দ্বিতীয় পোর্টে (16000) বিতরিত হওয়ার সম্ভাবনাকে হ্রাস করে - এখন পর্যন্ত দুই সপ্তাহের ব্যবহারের মধ্যে এমন কোনও ঘটনা ঘটেনি (30) মানুষ)।

এর পরে আসে 1.rdp ফাইল, যা আমরা প্রত্যেক ব্যবহারকারীর জন্য সবার জন্য বা আলাদাভাবে কনফিগার করতে পারি (আমি এটি করেছি - যারা এটি বের করতে পারেনি তাদের সাথে পরামর্শ করার কয়েক ঘন্টার চেয়ে অতিরিক্ত 15 মিনিট ব্যয় করা সহজ)

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

এখানে আকর্ষণীয় সেটিংস হল মাল্টিমন ব্যবহার করুন: i: 1 - এতে একাধিক মনিটরের ব্যবহার অন্তর্ভুক্ত রয়েছে - কারও কারও এটির প্রয়োজন, তবে তারা নিজেরাই এটি চালু করার কথা ভাববে না।

সংযোগের ধরন: i: 6 এবং networkautodetect: i: 0 - যেহেতু বেশিরভাগ ইন্টারনেট 10 Mbps এর উপরে, তারপর সংযোগ টাইপ 6 চালু করুন (স্থানীয় নেটওয়ার্ক 10 Mbps এবং তার বেশি) এবং নেটওয়ার্কঅটোডটেক্ট বন্ধ করুন, কারণ যদি ডিফল্টরূপে (স্বয়ংক্রিয়) , তারপর এমনকি একটি বিরল ছোট নেটওয়ার্ক লেটেন্সি স্বয়ংক্রিয়ভাবে দীর্ঘ সময়ের জন্য আমাদের সেশনকে একটি ধীর গতিতে সেট করে, যা কাজের ক্ষেত্রে বিশেষ করে গ্রাফিক্স প্রোগ্রামগুলিতে লক্ষণীয় বিলম্ব তৈরি করতে পারে।

ওয়ালপেপার নিষ্ক্রিয় করুন: i: 1 - ডেস্কটপ ছবি নিষ্ক্রিয় করুন
ব্যবহারকারীর নাম:s:myuserlogin - আমরা ব্যবহারকারীর লগইন নির্দিষ্ট করি, যেহেতু আমাদের ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ তাদের লগইন জানে না
domain:s:mydomain - ডোমেইন বা কম্পিউটারের নাম উল্লেখ করুন

কিন্তু যদি আমরা একটি সংযোগ পদ্ধতি তৈরি করার আমাদের কাজকে সহজ করতে চাই, তাহলে আমরা PowerShell - StartRDP.ps1 ব্যবহার করতে পারি

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

উইন্ডোজের আরডিপি ক্লায়েন্ট সম্পর্কেও কিছুটা: MS প্রোটোকল এবং এর সার্ভার এবং ক্লায়েন্ট অংশগুলিকে অপ্টিমাইজ করতে অনেক দূর এগিয়েছে, অনেক দরকারী বৈশিষ্ট্য প্রয়োগ করেছে - যেমন হার্ডওয়্যার 3D এর সাথে কাজ করা, আপনার মনিটরের জন্য স্ক্রীন রেজোলিউশন অপ্টিমাইজ করা, মাল্টিস্ক্রিন, এবং তাই তবে অবশ্যই, সবকিছু পশ্চাদগামী সামঞ্জস্য মোডে প্রয়োগ করা হয়েছে, এবং যদি ক্লায়েন্টটি হয় Windows 7, এবং দূরবর্তী পিসিটি Windows 10 হয়, তাহলে RDP প্রোটোকল সংস্করণ 7.0 ব্যবহার করে কাজ করবে। কিন্তু সুবিধা হল আপনি RDP সংস্করণগুলিকে আরও সাম্প্রতিক সংস্করণে আপডেট করতে পারেন - উদাহরণস্বরূপ, আপনি প্রোটোকল সংস্করণ 7.0 (Windows 7) থেকে 8.1-এ আপগ্রেড করতে পারেন। অতএব, ক্লায়েন্টদের সুবিধার জন্য, সার্ভার অংশের সংস্করণ যতটা সম্ভব বৃদ্ধি করা প্রয়োজন, সেইসাথে RDP প্রোটোকল ক্লায়েন্টের নতুন সংস্করণে আপগ্রেড করার জন্য লিঙ্কগুলি ড্রপ করা প্রয়োজন।

ফলস্বরূপ, আমাদের কাছে একটি কার্যকরী পিসি বা টার্মিনাল সার্ভারে দূরবর্তী সংযোগের জন্য একটি সহজ এবং তুলনামূলকভাবে নিরাপদ প্রযুক্তি রয়েছে। কিন্তু আরও সুরক্ষিত সংযোগের জন্য, আমাদের পোর্ট নকিং পদ্ধতিটি চেক করার জন্য পোর্ট যোগ করে বিভিন্ন মাত্রার দ্বারা আক্রমণ করা আরও কঠিন করা যেতে পারে - আপনি একই যুক্তি অনুসারে 3,4,5,6 ... একটি পোর্ট যোগ করতে পারেন , এবং এই ক্ষেত্রে আপনার নেটওয়ার্কে সরাসরি অনুপ্রবেশ প্রায় অসম্ভব হবে।

RDP-তে দূরবর্তী সংযোগ তৈরি করার জন্য ফাঁকা ফাইল.

উত্স: www.habr.com