オフィスでのリモートワーク。 RDP、ポートノッキング、Mikrotik: シンプルで安全

新型コロナウイルス感染症のパンデミックと多くの国での一般的な隔離のため、多くの企業が業務を継続する唯一の方法は、インターネットを介して職場にリモートアクセスすることです。 リモートワークのための比較的安全な方法は数多くありますが、問題の規模を考えると、追加の設定、説明、面倒な相談や長い指示を必要とせず、あらゆるユーザーがオフィスにリモート接続できる簡単な方法が必要です。 この方法は、多くの管理者に愛用されている RDP (リモート デスクトップ プロトコル) です。 RDP 経由で職場に直接接続することで、問題を理想的に解決できます。例外は、19 匹の大きなハエです。インターネット用に RDP ポートを開いたままにしておくのは、非常に危険です。 したがって、以下では、シンプルだが信頼性の高い保護方法を提案します。

Mikrotik デバイスがインターネット アクセスとして使用されている小規模な組織によく遭遇するため、以下では Mikrotik でこれを実装する方法を示しますが、ポート ノッキング保護方法は、同様の入力ルーター設定とファイアウォールを備えた他の上位クラスのデバイスでも簡単に実装できます。 。

ポートノッキングについて簡単に説明します。 インターネットに接続されたネットワークの理想的な外部保護は、すべてのリソースとポートがファイアウォールによって外部から閉じられることです。 このように構成されたファイアウォールを備えたルーターは、外部からのパケットには一切反応しませんが、パケットをリッスンします。 したがって、ネットワーク パケットの特定の (コード) シーケンスが別のポートで受信されたときに、パケットの送信元の IP に対してルーター (ルーター) が特定のリソース (ポート、プロトコル、等。）。

さてビジネスです。 Mikrotik のファイアウォール設定については詳しく説明しません。インターネットには、これに関する高品質のソースがたくさんあります。 理想的には、ファイアウォールはすべての受信パケットをブロックしますが、

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

確立された関連接続からの受信トラフィックを許可します。
次に、Mikrotik でポート ノッキングを設定します。

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

より詳細に：

最初の XNUMX つのルール

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

ポート スキャン中にブラックリストに登録されている IP アドレスからの受信パケットを禁止します。

XNUMX番目のルール：

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

正しいポート (19000) で正しい最初のノックを行ったホストのリストに ip を追加します。
次の XNUMX つのルールは次のとおりです。

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

あなたのポートをスキャンしたい人のためにトラップ ポートを作成し、そのような試みが検出された場合は、その IP を 60 分間ブラックリストに登録します。その間、最初の XNUMX つのルールはそのようなホストに正しいポートをノックオンする機会を与えません。

次のルール:

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

1 番目の正しいノックが目的のポート (16000) で行われたため、ip を許可リストに XNUMX 分間 (接続を確立するのに十分な時間) 追加します。

次のコマンド:

move [/ip firewall filter find comment=RemoteRules] 1

ルールをファイアウォールの処理チェーンの上流に移動します。これは、新しく作成したルールが機能しないように、すでに別の拒否ルールが設定されている可能性が高いためです。 Mikrotik の最初のルールは 1 から始まりますが、私のデバイスでは XNUMX は組み込みルールによって占有されており、移動することは不可能でした。私はそれを XNUMX に移動しました。そのため、設定を確認します。どこに移動できるかです。希望の番号を指定します。

次の設定:

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

任意に選択したポート 33890 を通常の RDP ポート 3389 と必要なコンピュータまたはターミナル サーバーの IP に転送します。 必要なすべての内部リソースに対してそのようなルールを作成し、できれば非標準 (および異なる) 外部ポートを設定します。 当然のことながら、内部リソースの IP は静的であるか、DHCP サーバー上に固定されている必要があります。

これで Mikrotik が構成され、ユーザーが内部 RDP に接続するための簡単な手順が必要になりました。 主に Windows ユーザーがいるため、単純なバット ファイルを作成し、StartRDP.bat という名前を付けます。

1.htm
1.rdp

それぞれ 1.htm には次のコードが含まれています。

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
нажмите обновить страницу для повторного захода по RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

これには、my_router.sn.mynetname.net にある架空の写真への XNUMX つのリンクが含まれています。このアドレスは、Mikrotik で有効にした後、Mikrotik DDNS システムから取得します。[IP] -> [Cloud] メニューに移動し、[DDNS Enabled] チェックボックスをオンにします。 [適用] をクリックし、ルーターの DNS 名をコピーします。 ただし、これが必要になるのは、ルーターの外部 IP が動的であるか、複数のインターネットプロバイダーによる構成が使用されている場合のみです。

最初のリンクのポート 19000 は、ノックする必要がある最初のポートに対応し、1 番目のポートは 16000 番目のポートにそれぞれ対応します。 リンクの間には、短いネットワークの問題により接続が突然中断された場合の対処法を示す短い説明があります。ページを更新すると、RDP ポートが 30 分間再び開き、セッションが復元されます。 また、img タグ間のテキストはブラウザにとってマイクロ遅延を形成し、最初のパケットが XNUMX 番目のポート (XNUMX) に配信される可能性が低くなります。これまでのところ、XNUMX 週間の使用でそのようなケースはありません (XNUMX)人々）。

次に 1.rdp ファイルが来ます。これは、すべてのユーザーに対して 15 つを構成することも、各ユーザーに対して個別に構成することもできます (私はこれを行いました。理解できない人に数時間相談するより、追加で XNUMX 分を費やすほうが簡単です)

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

ここでの興味深い設定は、 use multimon: i: 1 です。これには複数のモニターの使用が含まれます。これを必要とする人もいますが、彼ら自身はそれをオンにすることを考えていません。

接続タイプ: i: 6 および networkautodetect: i: 0 - インターネットの大部分が 10 Mbps 以上であるため、接続タイプ 6 (ローカル ネットワーク 10 Mbps 以上) をオンにし、デフォルト (自動) の場合は networkautodetect をオフにします。場合、まれに小さなネットワーク遅延が発生した場合でも、セッションが自動的に長時間低速に設定され、特にグラフィックス プログラムで作業に顕著な遅延が発生する可能性があります。

壁紙を無効にする: i: 1 - デスクトップのピクチャを無効にする
username:s:myuserlogin - ユーザーの大部分が自分のログイン情報を知らないため、ユーザー ログインを指定します。
domain:s:mydomain - ドメインまたはコンピュータ名を指定します

ただし、接続プロシージャを作成するタスクを簡略化したい場合は、PowerShell - StartRDP.ps1 を使用することもできます。

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

Windows の RDP クライアントについても少し説明します。MS は、プロトコルとそのサーバーおよびクライアント部分の最適化において大きな進歩を遂げ、ハードウェア 3D の操作、モニターの画面解像度の最適化、マルチスクリーン、等々。 ただし、もちろん、すべてが下位互換モードで実装されており、クライアントが Windows 7 でリモート PC が Windows 10 の場合、RDP はプロトコル バージョン 7.0 を使用して機能します。 ただし、RDP バージョンをより新しいバージョンに更新できるという利点があります。たとえば、プロトコル バージョンを 7.0 (Windows 7) から 8.1 にアップグレードできます。 したがって、クライアントの利便性を考慮して、サーバー部分のバージョンをできるだけ高めるとともに、リンクをドロップして新しいバージョンの RDP プロトコル クライアントにアップグレードする必要があります。

その結果、稼働中の PC またはターミナル サーバーにリモート接続するための、シンプルで比較的安全なテクノロジが得られました。 しかし、より安全な接続を実現するには、チェックするポートを追加することで、ポート ノッキング手法を数桁攻撃しにくくすることができます。同じロジックに従って 3,4,5,6、XNUMX、XNUMX、XNUMX ... ポートを追加することもできます。この場合、ネットワークへの直接侵入はほぼ不可能になります。

RDP へのリモート接続を作成するための空のファイル.

出所： habr.com