🥇कार्यालय में दूरस्थ कार्य। आरडीपी, पोर्ट नॉकिंग, मिकरोटिक: सरल और सुरक्षित

कई देशों में कोविड-19 वायरस महामारी और सामान्य संगरोध के कारण, कई कंपनियों के लिए काम जारी रखने का एकमात्र तरीका इंटरनेट के माध्यम से कार्यस्थलों तक दूरस्थ पहुंच है। दूरस्थ कार्य के लिए कई अपेक्षाकृत सुरक्षित तरीके हैं - लेकिन समस्या के पैमाने को देखते हुए, किसी भी उपयोगकर्ता के लिए कार्यालय से दूरस्थ रूप से जुड़ने के लिए अतिरिक्त सेटिंग्स, स्पष्टीकरण, थकाऊ परामर्श और लंबे निर्देशों की आवश्यकता के बिना एक सरल विधि की आवश्यकता होती है। यह विधि कई व्यवस्थापकों RDP (रिमोट डेस्कटॉप प्रोटोकॉल) को पसंद है। आरडीपी के माध्यम से कार्यस्थल से सीधे जुड़ने से हमारी समस्या आदर्श रूप से हल हो जाती है, सिवाय एक बड़ी समस्या के - आरडीपी पोर्ट को इंटरनेट के लिए खुला रखना बहुत असुरक्षित है। इसलिए, नीचे मैं सुरक्षा का एक सरल लेकिन विश्वसनीय तरीका प्रस्तावित करता हूं।

चूँकि मैं अक्सर छोटे संगठनों में आता हूँ जहाँ मिकरोटिक उपकरणों का उपयोग इंटरनेट एक्सेस के रूप में किया जाता है, नीचे यह दिखाया जाएगा कि इसे मिकरोटिक पर कैसे लागू किया जाए, लेकिन पोर्ट नॉकिंग सुरक्षा विधि समान इनपुट राउटर सेटिंग्स और फ़ायरवॉल के साथ अन्य उच्च श्रेणी के उपकरणों पर आसानी से लागू की जाती है। .

संक्षेप में पोर्ट नॉकिंग के बारे में. इंटरनेट से जुड़े नेटवर्क की आदर्श बाहरी सुरक्षा तब होती है जब सभी संसाधन और पोर्ट फ़ायरवॉल द्वारा बाहर से बंद कर दिए जाते हैं। और यद्यपि ऐसे कॉन्फ़िगर किए गए फ़ायरवॉल वाला राउटर बाहर से आने वाले पैकेटों पर किसी भी तरह से प्रतिक्रिया नहीं करता है, यह उनकी बात सुनता है। इसलिए, आप राउटर को कॉन्फ़िगर कर सकते हैं ताकि जब विभिन्न पोर्ट पर नेटवर्क पैकेट का एक निश्चित (कोड) अनुक्रम प्राप्त हो, तो यह (राउटर) आईपी के लिए जहां से पैकेट आया था, कुछ संसाधनों (पोर्ट, प्रोटोकॉल) तक पहुंच काट देता है। वगैरह।)।

अब व्यापार के लिए. मैं मिकरोटिक पर फ़ायरवॉल सेटिंग्स का विस्तृत विवरण नहीं दूंगा - इंटरनेट इसके लिए उच्च गुणवत्ता वाले स्रोतों से भरा है। आदर्श रूप से, फ़ायरवॉल आने वाले सभी पैकेटों को ब्लॉक कर देता है, लेकिन

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

स्थापित, संबंधित कनेक्शन से आने वाले ट्रैफ़िक की अनुमति देता है।
अब हमने मिक्रोटिक पर पोर्ट नॉकिंग की स्थापना की:

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

अब और विस्तार से:

पहले दो नियम

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

पोर्ट स्कैनिंग के दौरान ब्लैकलिस्ट किए गए आईपी पते से आने वाले पैकेटों को प्रतिबंधित करें;

तीसरा नियम:

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

उन मेजबानों की सूची में आईपी जोड़ता है जिन्होंने सही पोर्ट (19000) पर पहली बार सही दस्तक दी;
निम्नलिखित चार नियम:

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

उन लोगों के लिए ट्रैप पोर्ट बनाएं जो आपके पोर्ट को स्कैन करना चाहते हैं, और यदि ऐसे प्रयासों का पता चलता है, तो उनके आईपी को 60 मिनट के लिए ब्लैकलिस्ट कर दें, जिसके दौरान पहले दो नियम ऐसे होस्ट को सही पोर्ट पर दस्तक देने का अवसर नहीं देंगे;

अगला नियम:

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

1 मिनट के लिए आईपी को अनुमत सूची में रखता है (कनेक्शन स्थापित करने के लिए पर्याप्त), क्योंकि वांछित पोर्ट (16000) पर दूसरा सही दस्तक दिया गया था;

अगला आदेश:

move [/ip firewall filter find comment=RemoteRules] 1

हमारे नियमों को फ़ायरवॉल प्रसंस्करण श्रृंखला में ऊपर ले जाता है, क्योंकि सबसे अधिक संभावना है कि हमारे पास पहले से ही अलग-अलग इनकार नियम कॉन्फ़िगर होंगे जो हमारे नए बनाए गए नियमों को काम करने से रोकेंगे। मिकरोटिक में पहला नियम शून्य से शुरू होता है, लेकिन मेरे डिवाइस पर शून्य पर एक अंतर्निहित नियम का कब्जा था और इसे स्थानांतरित करना असंभव था - मैंने इसे 1 पर स्थानांतरित कर दिया। इसलिए, हम अपनी सेटिंग्स को देखते हैं - जहां आप इसे स्थानांतरित कर सकते हैं और वांछित संख्या इंगित करें।

अगली सेटिंग:

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

मनमाने ढंग से चयनित पोर्ट 33890 को सामान्य आरडीपी पोर्ट 3389 और हमारे लिए आवश्यक कंप्यूटर या टर्मिनल सर्वर के आईपी पर अग्रेषित करता है। हम सभी आवश्यक आंतरिक संसाधनों के लिए ऐसे नियम बनाते हैं, अधिमानतः गैर-मानक (और अलग) बाहरी पोर्ट सेट करते हैं। स्वाभाविक रूप से, आंतरिक संसाधनों का आईपी या तो डीएचसीपी सर्वर पर स्थिर या स्थिर होना चाहिए।

अब हमारा मिकरोटिक कॉन्फ़िगर हो गया है और हमें उपयोगकर्ता को हमारे आंतरिक आरडीपी से कनेक्ट करने के लिए एक सरल प्रक्रिया की आवश्यकता है। चूँकि हमारे पास मुख्य रूप से विंडोज़ उपयोगकर्ता हैं, हम एक साधारण बैट फ़ाइल बनाते हैं और इसे स्टार्टआरडीपी.बैट नाम देते हैं:

1.htm
1.rdp

क्रमशः 1.htm में निम्नलिखित कोड है:

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
нажмите обновить страницу для повторного захода по RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

इसमें काल्पनिक चित्रों के दो लिंक हैं जो my_router.sn.mynetname.net पर स्थित हैं - हम इस पते को अपने मिकरोटिक में सक्षम करने के बाद मिकरोटिक डीडीएनएस सिस्टम से लेते हैं: आईपी-> क्लाउड मेनू पर जाएं - डीडीएनएस सक्षम चेकबॉक्स की जांच करें, अप्लाई पर क्लिक करें और हमारे राउटर का डीएनएस नाम कॉपी करें। लेकिन यह केवल तभी आवश्यक है जब राउटर का बाहरी आईपी गतिशील हो या कई इंटरनेट प्रदाताओं के साथ कॉन्फ़िगरेशन का उपयोग किया गया हो।

पहले लिंक में पोर्ट: 19000 पहले पोर्ट से मेल खाता है जिस पर आपको क्रमशः दूसरे में, दूसरे में दस्तक देने की आवश्यकता है। लिंक के बीच एक संक्षिप्त निर्देश है जो दिखाता है कि अगर अचानक हमारा कनेक्शन छोटी नेटवर्क समस्याओं के कारण बाधित हो जाता है तो क्या करना चाहिए - हम पेज को रीफ्रेश करते हैं, आरडीपी पोर्ट 1 मिनट के लिए हमारे लिए फिर से खुलता है और हमारा सत्र बहाल हो जाता है। इसके अलावा, आईएमजी टैग के बीच का टेक्स्ट ब्राउज़र के लिए एक माइक्रो-विलंब बनाता है, जिससे पहले पैकेट को दूसरे पोर्ट (16000) तक पहुंचाने की संभावना कम हो जाती है - अब तक दो सप्ताह के उपयोग में ऐसा कोई मामला नहीं आया है (30) लोग)।

इसके बाद 1.rdp फ़ाइल आती है, जिसे हम सभी के लिए या प्रत्येक उपयोगकर्ता के लिए अलग से कॉन्फ़िगर कर सकते हैं (मैंने ऐसा किया - उन लोगों से परामर्श करने के लिए कुछ घंटों की तुलना में अतिरिक्त 15 मिनट खर्च करना आसान है जो इसका पता नहीं लगा सके)

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

यहां दिलचस्प सेटिंग्स में मल्टीमोन का उपयोग है: i: 1 - इसमें एकाधिक मॉनिटर का उपयोग शामिल है - कुछ को इसकी आवश्यकता है, लेकिन वे स्वयं इसे चालू करने के बारे में नहीं सोचेंगे।

कनेक्शन प्रकार: i: 6 और नेटवर्कऑटोडिटेक्ट: i: 0 - चूंकि अधिकांश इंटरनेट 10 एमबीपीएस से ऊपर है, तो कनेक्शन प्रकार 6 (स्थानीय नेटवर्क 10 एमबीपीएस और ऊपर) चालू करें और नेटवर्कऑटोडिटेक्ट बंद करें, क्योंकि यदि डिफ़ॉल्ट रूप से (ऑटो) , फिर एक दुर्लभ छोटी नेटवर्क विलंबता भी स्वचालित रूप से हमारे सत्र को लंबे समय तक धीमी गति पर सेट कर देती है, जो काम में ध्यान देने योग्य देरी पैदा कर सकती है, खासकर ग्राफिक्स कार्यक्रमों में।

वॉलपेपर अक्षम करें: i: 1 - डेस्कटॉप चित्र अक्षम करें
उपयोगकर्ता नाम:s:myuserlogin - हम उपयोगकर्ता लॉगिन निर्दिष्ट करते हैं, क्योंकि हमारे उपयोगकर्ताओं का एक महत्वपूर्ण हिस्सा अपना लॉगिन नहीं जानता है
डोमेन:s:mydomain - डोमेन या कंप्यूटर नाम निर्दिष्ट करें

लेकिन अगर हम कनेक्शन प्रक्रिया बनाने के अपने कार्य को सरल बनाना चाहते हैं, तो हम पावरशेल - स्टार्टआरडीपी.पीएस1 का भी उपयोग कर सकते हैं।

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

विंडोज़ में आरडीपी क्लाइंट के बारे में भी थोड़ा: एमएस ने प्रोटोकॉल और उसके सर्वर और क्लाइंट भागों को अनुकूलित करने में एक लंबा सफर तय किया है, कई उपयोगी सुविधाएं लागू की हैं - जैसे हार्डवेयर 3 डी के साथ काम करना, आपके मॉनिटर के लिए स्क्रीन रिज़ॉल्यूशन को अनुकूलित करना, मल्टीस्क्रीन, और इसी तरह। लेकिन निश्चित रूप से, सबकुछ बैकवर्ड संगतता मोड में लागू किया गया है, और यदि क्लाइंट विंडोज 7 है, और रिमोट पीसी विंडोज 10 है, तो आरडीपी प्रोटोकॉल संस्करण 7.0 का उपयोग करके काम करेगा। लेकिन लाभ यह है कि आप आरडीपी संस्करणों को नवीनतम संस्करणों में अपडेट कर सकते हैं - उदाहरण के लिए, आप प्रोटोकॉल संस्करण को 7.0 (विंडोज 7) से 8.1 तक अपग्रेड कर सकते हैं। इसलिए, ग्राहकों की सुविधा के लिए, सर्वर भाग के संस्करणों को यथासंभव बढ़ाना आवश्यक है, साथ ही आरडीपी प्रोटोकॉल क्लाइंट के नए संस्करणों में अपग्रेड करने के लिए लिंक ड्रॉप करना आवश्यक है।

परिणामस्वरूप, हमारे पास कार्यशील पीसी या टर्मिनल सर्वर से दूरस्थ कनेक्शन के लिए एक सरल और अपेक्षाकृत सुरक्षित तकनीक है। लेकिन अधिक सुरक्षित कनेक्शन के लिए, हमारी पोर्ट नॉकिंग विधि को जांच के लिए पोर्ट जोड़कर, परिमाण के कई आदेशों द्वारा हमला करना अधिक कठिन बनाया जा सकता है - आप 3,4,5,6 ... एक ही तर्क के अनुसार एक पोर्ट जोड़ सकते हैं , और इस स्थिति में आपके नेटवर्क में सीधी घुसपैठ लगभग असंभव होगी।

RDP से दूरस्थ कनेक्शन बनाने के लिए रिक्त फ़ाइलें.

स्रोत: www.habr.com

कार्यालय में दूरस्थ कार्य। आरडीपी, पोर्ट नॉकिंग, मिकरोटिक: सरल और सुरक्षित

एक टिप्पणी जोड़ें उत्तर रद्द