ઓફિસમાં દૂરસ્થ કામ. આરડીપી, પોર્ટ નોકિંગ, મિક્રોટિક: સરળ અને સુરક્ષિત

ઘણા દેશોમાં કોવિડ -19 વાયરસ રોગચાળા અને સામાન્ય સંસર્ગનિષેધને કારણે, ઘણી કંપનીઓ માટે કામ ચાલુ રાખવાનો એકમાત્ર રસ્તો ઇન્ટરનેટ દ્વારા કાર્યસ્થળોની દૂરસ્થ ઍક્સેસ છે. રિમોટ વર્ક માટે ઘણી પ્રમાણમાં સલામત પદ્ધતિઓ છે - પરંતુ સમસ્યાના સ્કેલને જોતાં, કોઈપણ વપરાશકર્તા માટે ઓફિસ સાથે રિમોટલી કનેક્ટ થવાની અને વધારાની સેટિંગ્સ, સમજૂતીઓ, કંટાળાજનક પરામર્શ અને લાંબી સૂચનાઓની જરૂર વગર એક પદ્ધતિ સરળ છે. આ પદ્ધતિ ઘણા સંચાલકો RDP (રિમોટ ડેસ્કટોપ પ્રોટોકોલ) દ્વારા પસંદ કરવામાં આવે છે. RDP દ્વારા વર્કસ્ટેશન સાથે સીધું જ કનેક્ટ થવું આદર્શ રીતે અમારી સમસ્યાનું નિરાકરણ લાવે છે, મલમની એક મોટી ફ્લાય સિવાય - RDP પોર્ટને ઈન્ટરનેટ માટે ખુલ્લું રાખવું ખૂબ જ અસુરક્ષિત છે. તેથી, નીચે હું રક્ષણની એક સરળ પરંતુ વિશ્વસનીય પદ્ધતિનો પ્રસ્તાવ મૂકું છું.

હું ઘણી વખત નાની સંસ્થાઓમાં આવું છું જ્યાં Mikrotik ઉપકરણોનો ઉપયોગ ઈન્ટરનેટ કનેક્શન તરીકે થાય છે, નીચે હું બતાવીશ કે આને Mikrotik પર કેવી રીતે લાગુ કરવું, પરંતુ પોર્ટ નોકિંગ પ્રોટેક્શન મેથડ સમાન ઇનપુટ રાઉટર સેટિંગ્સ સાથે અન્ય ઉચ્ચ-વર્ગના ઉપકરણો પર સરળતાથી લાગુ કરી શકાય છે. ફાયરવોલ

પોર્ટ નોકિંગ વિશે સંક્ષિપ્તમાં. ઈન્ટરનેટ સાથે જોડાયેલા નેટવર્કનું આદર્શ બાહ્ય રક્ષણ એ છે કે જ્યારે તમામ સંસાધનો અને પોર્ટ ફાયરવોલ દ્વારા બહારથી બંધ કરવામાં આવે. અને જો કે આવી રૂપરેખાંકિત ફાયરવોલ સાથેનું રાઉટર બહારથી આવતા પેકેટો પર કોઈપણ રીતે પ્રતિક્રિયા આપતું નથી, તે તેમને સાંભળે છે. તેથી, તમે રાઉટરને રૂપરેખાંકિત કરી શકો છો જેથી જ્યારે તે વિવિધ પોર્ટ્સ પર નેટવર્ક પેકેટોનો ચોક્કસ (કોડ) ક્રમ પ્રાપ્ત કરે, ત્યારે તે (રાઉટર) IP માટે જ્યાંથી પેકેટો આવ્યા હતા, ચોક્કસ સંસાધનો (પોર્ટ્સ, પ્રોટોકોલ, વગેરે) ની ઍક્સેસને નકારે. .).

હવે મુદ્દા પર. હું Mikrotik પર ફાયરવોલ સેટ કરવાનું વિગતવાર વર્ણન આપીશ નહીં - ઇન્ટરનેટ આ માટે ગુણવત્તાયુક્ત સ્ત્રોતોથી ભરેલું છે. આદર્શરીતે, ફાયરવોલ તમામ આવનારા પેકેટોને બ્લોક કરે છે, પરંતુ

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

પહેલાથી સ્થાપિત (સ્થાપિત, સંબંધિત) કનેક્શન્સમાંથી આવતા ટ્રાફિકને મંજૂરી આપે છે.
હવે અમે Mikrotik પર પોર્ટ નોકિંગને ગોઠવીએ છીએ:

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

હવે વધુ વિગતમાં:

પ્રથમ બે નિયમો

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

પોર્ટ સ્કેનિંગ દરમિયાન બ્લેકલિસ્ટ કરાયેલા IP એડ્રેસમાંથી આવતા પેકેટોને પ્રતિબંધિત કરો;

ત્રીજો નિયમ:

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

યજમાનોની સૂચિમાં ip ઉમેરે છે જેણે ઇચ્છિત પોર્ટ (19000) પર સાચો પ્રથમ નોક કર્યો હતો;
નીચેના ચાર નિયમો:

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

જેઓ તમારા પોર્ટ્સને સ્કેન કરવા માગે છે તેમના માટે ટ્રેપ પોર્ટ બનાવો, અને જ્યારે આવા પ્રયાસો શોધી કાઢવામાં આવે છે, ત્યારે તેઓ તેમના આઈપીને 60 મિનિટ માટે બ્લેકલિસ્ટ કરે છે, જે દરમિયાન પ્રથમ બે નિયમો આવા યજમાનોને યોગ્ય બંદરો પર કઠણ કરવાની તક આપશે નહીં;

આગલો નિયમ:

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

આઇપીને 1 મિનિટ માટે મંજૂર લોકોની સૂચિમાં મૂકે છે (કનેક્શન સ્થાપિત કરવા માટે પૂરતું છે), કારણ કે બીજો સાચો નોક ઇચ્છિત પોર્ટ (16000) પર બનાવવામાં આવ્યો છે;

આગલો આદેશ:

move [/ip firewall filter find comment=RemoteRules] 1

અમારા નિયમોને ફાયરવોલ પ્રોસેસિંગ ચેઇન ઉપર લઈ જાય છે, કારણ કે સંભવતઃ અમારી પાસે પહેલાથી જ વિવિધ પ્રતિબંધિત નિયમો ગોઠવેલા હશે જે અમારા નવા બનાવેલાને કામ કરતા અટકાવશે. મિક્રોટિકમાં પહેલો નિયમ શૂન્યથી શરૂ થાય છે, પરંતુ મારા ઉપકરણ પર શૂન્ય બિલ્ટ-ઇન નિયમ દ્વારા કબજે કરવામાં આવ્યું હતું અને તેને ખસેડવું અશક્ય હતું - મેં તેને 1 પર ખસેડ્યું. તેથી, અમે અમારી સેટિંગ્સ જોઈએ છીએ - જ્યાં આપણે તેને ખસેડી શકીએ અને ઇચ્છિત નંબર સૂચવો.

આગલી સેટિંગ:

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

અવ્યવસ્થિત રીતે પસંદ કરેલ પોર્ટ 33890 ને નિયમિત RDP પોર્ટ 3389 અને કમ્પ્યુટર અથવા ટર્મિનલ સર્વરનો IP જે અમને જરૂર છે તે ફોરવર્ડ કરે છે. અમે તમામ જરૂરી આંતરિક સંસાધનો માટે આવા નિયમો બનાવીએ છીએ, પ્રાધાન્યમાં બિન-માનક (અને અલગ) બાહ્ય પોર્ટ સેટ કરીએ છીએ. સ્વાભાવિક રીતે, આંતરિક સંસાધનોનો IP કાં તો સ્થિર હોવો જોઈએ અથવા DHCP સર્વરને સોંપાયેલ હોવો જોઈએ.

હવે અમારું Mikrotik રૂપરેખાંકિત થયેલ છે અને વપરાશકર્તાને અમારા આંતરિક RDP સાથે કનેક્ટ કરવા માટે અમને એક સરળ પ્રક્રિયાની જરૂર છે. અમારી પાસે મોટાભાગે વિન્ડોઝ વપરાશકર્તાઓ હોવાથી, અમે એક સરળ બેટ ફાઇલ બનાવીએ છીએ અને તેને StartRDP.bat કહીએ છીએ:

1.htm
1.rdp

તદનુસાર 1.htm નીચેનો કોડ ધરાવે છે:

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
нажмите обновить страницу для повторного захода по RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

અહીં કાલ્પનિક ચિત્રોની બે લિંક્સ છે જે my_router.sn.mynetname.net સરનામાં પર સ્થિત છે - અમે આ સરનામું અમારા Mikrotik માં સક્ષમ કર્યા પછી Mikrotik DDNS સિસ્ટમમાંથી લઈએ છીએ: IP->Cloud મેનુ પર જાઓ - DDNS સક્ષમ તપાસો બોક્સ, લાગુ કરો ક્લિક કરો અને અમારા રાઉટરના dns નામની નકલ કરો. પરંતુ આ ફક્ત ત્યારે જ જરૂરી છે જ્યારે રાઉટરનો બાહ્ય IP ગતિશીલ હોય અથવા ઘણા ઇન્ટરનેટ પ્રદાતાઓ સાથેની ગોઠવણીનો ઉપયોગ કરવામાં આવે.

પ્રથમ લિંકમાંનું પોર્ટ: 19000 એ પ્રથમ પોર્ટને અનુરૂપ છે કે જેના પર તમારે કઠણ કરવાની જરૂર છે, બીજામાં તે બીજાને અનુરૂપ છે. લિંક્સની વચ્ચે એક ટૂંકી સૂચના છે જે બતાવે છે કે જો ટૂંકી નેટવર્ક સમસ્યાઓને કારણે અચાનક અમારું કનેક્શન અવરોધાય તો શું કરવું - અમે પૃષ્ઠને તાજું કરીએ છીએ, RDP પોર્ટ અમારા માટે 1 મિનિટ માટે ફરીથી ખોલવામાં આવે છે અને અમારું સત્ર પુનઃસ્થાપિત થાય છે. ઉપરાંત, img ટૅગ્સ વચ્ચેનો ટેક્સ્ટ બ્રાઉઝર માટે માઇક્રો-વિલંબ બનાવે છે, જે પ્રથમ પેકેટને બીજા પોર્ટ (16000) પર પહોંચાડવાની સંભાવનાને ઘટાડે છે - અત્યાર સુધી બે અઠવાડિયાના ઉપયોગ દરમિયાન આવા કોઈ કેસ નથી (30) લોકો).

આગળ 1.rdp ફાઇલ આવે છે, જેને આપણે દરેક માટે અથવા દરેક વપરાશકર્તા માટે અલગથી ગોઠવી શકીએ છીએ (તે મેં કર્યું છે - જેઓ તેને શોધી શક્યા નથી તેમની સલાહ લેવામાં કેટલાક કલાકો કરતાં વધુ 15 મિનિટ પસાર કરવી વધુ સરળ છે)

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

અહીં એક રસપ્રદ સેટિંગ્સ છે મલ્ટિમોન:i:1 નો ઉપયોગ કરો - આમાં બહુવિધ મોનિટરનો ઉપયોગ શામેલ છે - કેટલાક લોકોને આની જરૂર છે, પરંતુ તેઓ તેને જાતે ચાલુ કરવાનું વિચારતા નથી.

કનેક્શન પ્રકાર:i:6 અને networkautodetect:i:0 - કારણ કે મોટાભાગનું ઈન્ટરનેટ 10 Mbit કરતા વધારે છે, તો પછી કનેક્શન પ્રકાર 6 (સ્થાનિક નેટવર્ક 10 Mbit અને તેથી વધુ) સક્ષમ કરો અને નેટવર્ક ઓટોડેટેક્ટને અક્ષમ કરો, કારણ કે જો ડિફોલ્ટ (ઓટો) છે, તો પછી એક દુર્લભ નાની નેટવર્ક લેટન્સી પણ આપણા સત્રની સ્પીડને લાંબા સમય સુધી નીચી ઝડપે સેટ કરે છે, જે કામમાં ખાસ કરીને ગ્રાફિક્સ પ્રોગ્રામ્સમાં નોંધપાત્ર વિલંબ કરી શકે છે.

વોલપેપર નિષ્ક્રિય કરો:i:1 - ડેસ્કટોપ ચિત્રને અક્ષમ કરો
વપરાશકર્તા નામ:s:myuserlogin - અમે વપરાશકર્તા લોગિન સૂચવીએ છીએ, કારણ કે અમારા વપરાશકર્તાઓનો નોંધપાત્ર ભાગ તેમના લોગિનને જાણતો નથી
domain:s:mydomain - ડોમેન અથવા કમ્પ્યુટર નામ સૂચવો

પરંતુ જો આપણે કનેક્શન પ્રક્રિયા બનાવવાના કાર્યને સરળ બનાવવા માંગીએ છીએ, તો અમે પાવરશેલ - StartRDP.ps1 નો પણ ઉપયોગ કરી શકીએ છીએ.

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

વિન્ડોઝમાં RDP ક્લાયંટ વિશે પણ થોડું: MS એ પ્રોટોકોલ અને તેના સર્વર અને ક્લાયન્ટ ભાગોને ઑપ્ટિમાઇઝ કરવા, ઘણી ઉપયોગી સુવિધાઓ અમલમાં મૂકવાની લાંબી મજલ કાપી છે - જેમ કે હાર્ડવેર 3D સાથે કામ કરવું, તમારા મોનિટર માટે સ્ક્રીન રીઝોલ્યુશનને ઑપ્ટિમાઇઝ કરવું, મલ્ટિ-સ્ક્રીન, વગેરે પરંતુ અલબત્ત, બધું પછાત સુસંગતતા મોડમાં લાગુ કરવામાં આવ્યું છે અને જો ક્લાયંટ Windows 7 છે અને રિમોટ PC Windows 10 છે, તો પછી RDP પ્રોટોકોલ સંસ્કરણ 7.0 નો ઉપયોગ કરીને કાર્ય કરશે. પરંતુ સદભાગ્યે, તમે વધુ તાજેતરના સંસ્કરણોમાં RDP સંસ્કરણોને અપડેટ કરી શકો છો - ઉદાહરણ તરીકે, તમે પ્રોટોકોલ સંસ્કરણને 7.0 (Windows 7) થી 8.1 માં અપગ્રેડ કરી શકો છો. તેથી, ક્લાયંટની સુવિધા માટે, તમારે સર્વર પાર્ટના વર્ઝનને મહત્તમ કરવાની જરૂર છે, અને RDP પ્રોટોકોલ ક્લાયંટના નવા વર્ઝનને અપડેટ કરવા માટે લિંક્સ પણ પ્રદાન કરવાની જરૂર છે.

પરિણામે, અમારી પાસે વર્ક પીસી અથવા ટર્મિનલ સર્વર સાથે રિમોટ કનેક્શન માટે સરળ અને પ્રમાણમાં સુરક્ષિત તકનીક છે. પરંતુ વધુ સુરક્ષિત કનેક્શન માટે, અમારી પોર્ટ નોકિંગ પદ્ધતિને તપાસવા માટે પોર્ટ ઉમેરીને, મેગ્નિટ્યુડના ઘણા ઓર્ડર્સ દ્વારા હુમલો કરવાનું વધુ મુશ્કેલ બનાવી શકાય છે - સમાન તર્કનો ઉપયોગ કરીને, તમે 3,4,5,6... પોર્ટ ઉમેરી શકો છો અને આ કિસ્સામાં, તમારા નેટવર્કમાં સીધી ઘૂસણખોરી લગભગ અશક્ય હશે.

RDP સાથે રિમોટ કનેક્શન બનાવવા માટેની તૈયારીઓ ફાઇલ કરો.

સોર્સ: www.habr.com