Télétravail au bureau. RDP, Port Knocking, Mikrotik : simple et sécurisé.

En raison de la pandémie de virus covid-19 et du confinement généralisé dans de nombreux pays, la seule option pour de nombreuses entreprises afin de continuer à fonctionner est l'accès à distance aux postes de travail via Internet. Il existe de nombreuses méthodes relativement sûres pour le travail à distance, mais compte tenu de l'ampleur du problème, un moyen simple pour tous les utilisateurs d'accéder à leur bureau à distance est nécessaire, sans nécessiter de configurations supplémentaires, d'explications, de consultations pénibles ou d'instructions longues. Cette méthode, appréciée par de nombreux administrateurs, est le RDP (Remote Desktop Protocol). La connexion directe à un poste de travail via RDP répond parfaitement à notre besoin, à l'exception d'un grand inconvénient : laisser le port RDP ouvert sur Internet est très dangereux. Voici donc une méthode simple mais fiable de protection.

Comme je suis souvent confronté à de petites organisations utilisant des dispositifs Mikrotik pour leur connexion Internet, je vais montrer ci-dessous comment cela peut être réalisé sur Mikrotik, mais la méthode de protection Port Knocking est facilement implémentable sur d'autres dispositifs de gamme supérieure avec des configurations de routeur et de pare-feu similaires.

En bref sur le Port Knocking. La protection extérieure idéale d'un réseau connecté à Internet est de garder toutes les ressources et ports fermés de l'extérieur par un pare-feu. Bien que le routeur avec un pare-feu configuré de cette manière ne réagisse pas aux paquets entrants, il les écoute. Ainsi, on peut configurer le routeur pour qu'il ouvre l'accès à certaines ressources (ports, protocoles, etc.) pour une adresse IP spécifique dès qu'il reçoit une certaine séquence (code) de paquets réseau sur différents ports.

Passons aux choses sérieuses. Je ne vais pas entrer dans les détails de la configuration du pare-feu sur Mikrotik — il existe de nombreuses sources de qualité sur Internet pour cela. Idéalement, le pare-feu bloque tous les paquets entrants, mais

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

Il autorise le trafic entrant des connexions déjà établies (established, related).
Nous allons maintenant configurer le Port Knocking sur Mikrotik :

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

Maintenant, plus en détail :

les deux premières règles

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

interdisent les paquets entrants des adresses IP qui se trouvent sur la liste noire lors de l'analyse des ports ;

La troisième règle :

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

ajoute l'IP à la liste des hôtes qui ont fait correctement le premier coup sur le port requis (19000);
Les quatre règles suivantes :

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

créent des ports piégés pour ceux qui souhaiteraient scanner vos ports, et lorsqu'une telle tentative est détectée, leur IP est mise sur liste noire pendant 60 minutes, durant lesquelles les deux premières règles empêcheront ces hôtes de toucher les bons ports ;

Règle suivante :

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

met l'IP sur la liste autorisée pendant 1 minute (suffisant pour établir la connexion), car un second bon accès a été effectué sur le bon port (16000) ;

Commande suivante :

move [\/ip firewall filter find comment=RemoteRules] 1

déplace nos règles vers le haut de la chaîne de traitement du pare-feu, car il est probable que nous ayons déjà différentes règles de blocage établies qui empêcheront nos nouvelles d'être appliquées. La première règle dans MikroTik commence à zéro, mais sur mon appareil, le zéro était occupé par une règle intégrée et il était impossible de le déplacer — je l'ai déplacé à 1. Donc regardons nos paramètres — où nous pouvons déplacer et indiquons le numéro souhaité.

Réglage suivant :

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

redirige un port choisi aléatoirement, 33890, vers le port RDP standard 3389 et l'IP de l'ordinateur ou du serveur terminal souhaité. De telles règles sont créées pour toutes les ressources internes nécessaires, de préférence avec des ports externes non standards (et différents). Bien sûr, les IP des ressources internes doivent être soit statiques, soit réservées par DHCP. le serveur.

Maintenant notre MikroTik est configuré et nous avons besoin d'une procédure simple pour que l'utilisateur se connecte à notre RDP interne. Comme ce sont principalement des utilisateurs Windows, nous allons créer un simple fichier bat et l'appeler StartRDP.bat :

1.htm
1.rdp

respectivement, 1.htm contient le code suivant :

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
Cliquez sur Actualiser la page pour vous reconnecter via RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

ici se trouvent deux liens vers de fausses images qui se trouvent à l'adresse my_router.sn.mynetname.net — cette adresse provient du système DDNS de Mikrotik que nous basculons d'abord dans notre Mikrotik : nous allons dans le menu IP->Cloud — nous activons la case DDNS Enabled, cliquons sur Appliquer et copions le nom DNS de notre routeur. Cela est obligatoire seulement quand l'IP externe du routeur est dynamique ou qu'une configuration avec plusieurs fournisseurs d'accès Internet est utilisée.

Le port dans le premier lien :19000 correspond au premier port auquel il faut se connecter, dans le second au second. Entre les liens, il y a une courte instruction qui montre quoi faire si notre connexion est interrompue à cause de petites pannes réseau — nous actualisons la page, le port RDP se réouvre pour nous pendant 1 minute et notre session est rétablie. De plus, le texte entre les balises img forme pour le navigateur un micro-délai, ce qui réduit la probabilité de livraison du premier paquet au second port (16000) — jusqu'à présent, en deux semaines d'utilisation (30 personnes), aucun cas pareil n'a été signalé.

Ensuite, il y a le fichier 1.rdp, que nous pouvons configurer soit pour tous, soit séparément pour chaque utilisateur (c'est ce que j'ai fait — il est plus facile de passer 15 minutes supplémentaires que plusieurs heures à conseiller ceux qui n'ont pas pu comprendre).

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

parmi les paramètres intéressants, ici use multimon:i:1 — cela active l'utilisation de plusieurs moniteurs — certains en ont besoin, mais ils ne penseront pas à l'activer eux-mêmes.

connection type:i:6 et networkautodetect:i:0 — puisque la plupart des connexions Internet dépassent 10 Mbit, nous activons le type de connexion 6 (réseau local 10 Mbit et plus) et désactivons networkautodetect, car si par défaut (auto), même un léger retard dans le réseau établit automatiquement une vitesse réduite pour notre session, ce qui peut provoquer des délais notables dans le travail, surtout dans les programmes graphiques.

disable wallpaper:i:1 — désactivons l'image du bureau
username:s:myuserlogin — nous spécifions le nom d'utilisateur, car une partie importante de nos utilisateurs ne connaît pas son identifiant
domain:s:mydomain — nous spécifions le domaine ou le nom de l'ordinateur

Mais si nous voulons nous simplifier la tâche de création de la procédure de connexion, nous pouvons également utiliser PowerShell — StartRDP.ps1

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

Parlons aussi un peu du client RDP sur Windows : Microsoft a parcouru un long chemin pour optimiser le protocole ainsi que sa partie serveur et client, en mettant en œuvre de nombreuses fonctionnalités utiles — telles que la prise en charge de la 3D matérielle, l'optimisation de la résolution d'écran en fonction de votre moniteur, le multi-écran et d'autres. Naturellement, tout cela est réalisé en mode de compatibilité descendante et si le client est Windows 7 tandis que le PC distant est sous Windows 10, RDP fonctionnera en utilisant la version 7.0 du protocole. Heureusement, il est possible de mettre à jour les versions RDP vers des versions plus récentes — par exemple, on peut élever la version du protocole de 7.0 (Windows 7) à 8.1. Ainsi, pour le confort des clients, il est important de mettre à jour au maximum les versions de la partie serveur, ainsi que de fournir des liens pour les mises à jour vers de nouvelles versions des clients du protocole RDP.

En fin de compte, nous avons une technologie simple et relativement sûre pour se connecter à distance à un PC de travail ou un serveur terminal. Cependant, pour une connexion plus sécurisée, notre méthode de Port Knocking peut être compliquée pour rendre l'attaque plusieurs ordres de grandeur plus difficiles, en ajoutant des ports à vérifier — on pourrait ajouter, selon la même logique, 3, 4, 5, 6… ports et dans ce cas, une intrusion directe dans votre réseau deviendrait presque irréalisable.

Modèles de fichiers pour établir une connexion RDP à distance.

Source : habr.com