🥇 ऑफिसमध्ये रिमोट काम. RDP, पोर्ट नॉकिंग, Mikrotik: साधे आणि सुरक्षित

कोविड-19 विषाणूच्या साथीमुळे आणि बर्‍याच देशांमध्ये सामान्य अलग ठेवणे, अनेक कंपन्यांसाठी काम सुरू ठेवण्याचा एकमेव मार्ग म्हणजे इंटरनेटद्वारे कामाच्या ठिकाणी दूरस्थ प्रवेश. रिमोट वर्कसाठी अनेक तुलनेने सुरक्षित पद्धती आहेत - परंतु समस्येचे प्रमाण लक्षात घेता, कोणत्याही वापरकर्त्याला ऑफिसशी दूरस्थपणे आणि अतिरिक्त सेटिंग्ज, स्पष्टीकरणे, कंटाळवाणे सल्लामसलत आणि लांबलचक सूचनांची आवश्यकता न ठेवता कनेक्ट करण्याची सोपी पद्धत आवश्यक आहे. ही पद्धत बर्याच प्रशासकांना RDP (रिमोट डेस्कटॉप प्रोटोकॉल) आवडते. RDP द्वारे थेट वर्कस्टेशनशी कनेक्ट केल्याने आमची समस्या आदर्शपणे सोडवली जाते, मलममधील एक मोठी माशी वगळता - RDP पोर्ट इंटरनेटसाठी उघडे ठेवणे खूप असुरक्षित आहे. म्हणून, खाली मी संरक्षणाची एक सोपी परंतु विश्वासार्ह पद्धत प्रस्तावित करतो.

मी बर्‍याचदा लहान संस्थांमध्ये आढळतो जिथे Mikrotik डिव्हाइसेसचा वापर इंटरनेट कनेक्शन म्हणून केला जातो, खाली मी Mikrotik वर याची अंमलबजावणी कशी करायची ते दर्शवितो, परंतु पोर्ट नॉकिंग संरक्षण पद्धत समान इनपुट राउटर सेटिंग्जसह इतर उच्च-श्रेणी उपकरणांवर सहजपणे लागू केली जाऊ शकते. फायरवॉल

पोर्ट नॉकिंगबद्दल थोडक्यात. इंटरनेटशी कनेक्ट केलेल्या नेटवर्कचे आदर्श बाह्य संरक्षण म्हणजे जेव्हा सर्व संसाधने आणि पोर्ट बाहेरून फायरवॉलद्वारे बंद केले जातात. आणि जरी अशा कॉन्फिगर केलेल्या फायरवॉलसह राउटर बाहेरून येणार्‍या पॅकेट्सवर कोणत्याही प्रकारे प्रतिक्रिया देत नसला तरी तो त्यांचे ऐकतो. म्हणून, तुम्ही राउटर कॉन्फिगर करू शकता जेणेकरून जेव्हा त्याला वेगवेगळ्या पोर्टवर नेटवर्क पॅकेट्सचा विशिष्ट (कोड) क्रम प्राप्त होतो, तेव्हा ते (राउटर) आयपीसाठी जेथून पॅकेट्स आले होते, विशिष्ट संसाधनांमध्ये प्रवेश नाकारतो (पोर्ट, प्रोटोकॉल इ. .).

आता मुद्द्यावर. मी Mikrotik वर फायरवॉल सेट करण्याचे तपशीलवार वर्णन देणार नाही - इंटरनेट यासाठी दर्जेदार स्त्रोतांनी भरलेले आहे. तद्वतच, फायरवॉल सर्व येणारे पॅकेट अवरोधित करते, परंतु

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

आधीच स्थापित (स्थापित, संबंधित) कनेक्शनमधून येणार्‍या रहदारीला अनुमती देते.
आता आम्ही Mikrotik वर पोर्ट नॉकिंग कॉन्फिगर करतो:

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

आता अधिक तपशीलवार:

पहिले दोन नियम

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

पोर्ट स्कॅनिंग दरम्यान काळ्या यादीत टाकलेल्या IP पत्त्यांवरून येणारे पॅकेट प्रतिबंधित करा;

तिसरा नियम:

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

इच्छित पोर्ट (19000) वर योग्य पहिली खेळी करणाऱ्या यजमानांच्या सूचीमध्ये ip जोडते;
खालील चार नियम:

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

ज्यांना तुमचे पोर्ट स्कॅन करायचे आहेत त्यांच्यासाठी ट्रॅप पोर्ट तयार करा आणि जेव्हा असे प्रयत्न आढळून आले, तेव्हा ते त्यांचा आयपी 60 मिनिटांसाठी ब्लॅकलिस्ट करतात, ज्या दरम्यान पहिले दोन नियम अशा होस्टना योग्य पोर्ट्स ठोठावण्याची संधी देणार नाहीत;

पुढील नियम:

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

आयपीला 1 मिनिटासाठी परवानगी असलेल्यांच्या यादीमध्ये ठेवते (कनेक्शन स्थापित करण्यासाठी पुरेसे आहे), कारण दुसरा योग्य नॉक इच्छित पोर्ट (16000) वर केला जातो;

पुढील आदेश:

move [/ip firewall filter find comment=RemoteRules] 1

आमच्या नियमांना फायरवॉल प्रोसेसिंग चेन वर हलवते, कारण बहुधा आमच्याकडे आधीच विविध प्रतिबंधात्मक नियम कॉन्फिगर केलेले असतील जे आमच्या नवीन तयार केलेल्यांना कार्य करण्यापासून प्रतिबंधित करतील. Mikrotik मधील पहिला नियम शून्यापासून सुरू होतो, परंतु माझ्या डिव्हाइसवर शून्य अंगभूत नियमाने व्यापले होते आणि ते हलवणे अशक्य होते - मी ते 1 वर हलवले. म्हणून, आम्ही आमच्या सेटिंग्ज पाहतो - आम्ही ते कुठे हलवू शकतो. आणि इच्छित संख्या दर्शवा.

पुढील सेटिंग:

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

यादृच्छिकपणे निवडलेले पोर्ट 33890 नियमित RDP पोर्ट 3389 वर आणि आम्हाला आवश्यक असलेल्या संगणकाचा किंवा टर्मिनल सर्व्हरचा IP फॉरवर्ड करतो. आम्ही सर्व आवश्यक अंतर्गत संसाधनांसाठी असे नियम तयार करतो, शक्यतो गैर-मानक (आणि भिन्न) बाह्य पोर्ट सेट करतो. स्वाभाविकच, अंतर्गत संसाधनांचा IP एकतर स्थिर किंवा DHCP सर्व्हरला नियुक्त केलेला असणे आवश्यक आहे.

आता आमचे Mikrotik कॉन्फिगर केले आहे आणि वापरकर्त्यासाठी आमच्या अंतर्गत RDP शी कनेक्ट करण्यासाठी आम्हाला एक सोपी प्रक्रिया आवश्यक आहे. आमच्याकडे बहुतेक विंडोज वापरकर्ते असल्याने, आम्ही एक साधी बॅट फाइल तयार करतो आणि तिला StartRDP.bat म्हणतो:

1.htm
1.rdp

त्यानुसार 1.htm मध्ये खालील कोड आहे:

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
нажмите обновить страницу для повторного захода по RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

येथे my_router.sn.mynetname.net या पत्त्यावर असलेल्या काल्पनिक चित्रांच्या दोन लिंक्स आहेत - आमच्या Mikrotik मध्ये हे सक्षम केल्यानंतर आम्ही हा पत्ता Mikrotik DDNS प्रणालीवरून घेतो: IP->Cloud मेनूवर जा - DDNS सक्षम तपासा बॉक्समध्ये, लागू करा क्लिक करा आणि आमच्या राउटरचे डीएनएस नाव कॉपी करा. परंतु हे केवळ तेव्हाच आवश्यक असते जेव्हा राउटरचा बाह्य IP डायनॅमिक असतो किंवा अनेक इंटरनेट प्रदात्यांसह कॉन्फिगरेशन वापरले जाते.

पहिल्या दुव्यातील पोर्ट: 19000 पहिल्या पोर्टशी संबंधित आहे ज्यावर तुम्हाला ठोकणे आवश्यक आहे, दुसऱ्यामध्ये ते दुसऱ्याशी संबंधित आहे. लिंक्स दरम्यान एक लहान सूचना आहे जी लहान नेटवर्क समस्यांमुळे अचानक आमचे कनेक्शन व्यत्यय आणल्यास काय करावे हे दर्शविते - आम्ही पृष्ठ रीफ्रेश करतो, RDP पोर्ट आमच्यासाठी 1 मिनिटासाठी पुन्हा उघडला जातो आणि आमचे सत्र पुनर्संचयित केले जाते. तसेच, img टॅगमधील मजकूर ब्राउझरसाठी सूक्ष्म-विलंब तयार करतो, ज्यामुळे प्रथम पॅकेट दुसऱ्या पोर्टवर वितरित होण्याची शक्यता कमी होते (16000) - आतापर्यंत दोन आठवड्यांच्या वापरात अशी कोणतीही प्रकरणे आढळली नाहीत (30 लोक).

पुढे 1.rdp फाईल येते, जी आम्ही प्रत्येकासाठी किंवा प्रत्येक वापरकर्त्यासाठी स्वतंत्रपणे कॉन्फिगर करू शकतो (मी तेच केले - ज्यांना हे समजू शकले नाही त्यांच्याशी सल्लामसलत करण्यात काही तासांपेक्षा जास्त 15 मिनिटे घालवणे सोपे आहे)

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

येथे एक मनोरंजक सेटिंग आहे multimon:i:1 वापरा - यात एकाधिक मॉनिटर्सचा वापर समाविष्ट आहे - काही लोकांना याची आवश्यकता आहे, परंतु ते ते स्वतः चालू करण्याचा विचार करत नाहीत.

कनेक्शन प्रकार:i:6 आणि networkautodetect:i:0 - बहुतेक इंटरनेट 10 Mbit पेक्षा जास्त असल्याने, नंतर कनेक्शन प्रकार 6 (स्थानिक नेटवर्क 10 Mbit आणि त्याहून अधिक) सक्षम करा आणि नेटवर्क ऑटोडेक्ट अक्षम करा, कारण डीफॉल्ट (ऑटो) असल्यास, मग एक दुर्मिळ लहान नेटवर्क लेटन्सी देखील आमच्या सत्राचा वेग बर्याच काळापासून कमी वेगाने सेट करते, ज्यामुळे कामात लक्षणीय विलंब होऊ शकतो, विशेषत: ग्राफिक्स प्रोग्राममध्ये.

वॉलपेपर अक्षम करा:i:1 - डेस्कटॉप चित्र अक्षम करा
वापरकर्तानाव:s:myuserlogin - आम्ही वापरकर्ता लॉगिन सूचित करतो, कारण आमच्या वापरकर्त्यांच्या मोठ्या भागाला त्यांचे लॉगिन माहित नाही
domain:s:mydomain - डोमेन किंवा संगणकाचे नाव सूचित करा

परंतु जर आम्हाला कनेक्शन प्रक्रिया तयार करण्याचे कार्य सोपे करायचे असेल, तर आम्ही PowerShell - StartRDP.ps1 देखील वापरू शकतो.

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

तसेच Windows मधील RDP क्लायंटबद्दल थोडेसे: MS ने प्रोटोकॉल आणि त्याचे सर्व्हर आणि क्लायंट पार्ट्स ऑप्टिमाइझ करण्यात, अनेक उपयुक्त वैशिष्ट्ये लागू करण्यात खूप मोठा पल्ला गाठला आहे - जसे की हार्डवेअर 3D सह कार्य करणे, तुमच्या मॉनिटरसाठी स्क्रीन रिझोल्यूशन ऑप्टिमाइझ करणे, मल्टी-स्क्रीन, इ. परंतु अर्थातच, सर्वकाही बॅकवर्ड कंपॅटिबिलिटी मोडमध्ये लागू केले आहे आणि जर क्लायंट विंडोज 7 असेल आणि रिमोट पीसी विंडोज 10 असेल, तर RDP प्रोटोकॉल आवृत्ती 7.0 वापरून कार्य करेल. परंतु सुदैवाने, तुम्ही RDP आवृत्त्या अधिक अलीकडील आवृत्त्यांमध्ये अद्यतनित करू शकता - उदाहरणार्थ, तुम्ही प्रोटोकॉल आवृत्ती 7.0 (Windows 7) वरून 8.1 वर श्रेणीसुधारित करू शकता. म्हणून, क्लायंटच्या सोयीसाठी, तुम्हाला सर्व्हरच्या भागाच्या आवृत्त्या वाढवण्याची आणि RDP प्रोटोकॉल क्लायंटच्या नवीन आवृत्त्यांसाठी अद्यतनित करण्यासाठी लिंक देखील प्रदान करणे आवश्यक आहे.

परिणामी, आमच्याकडे वर्क पीसी किंवा टर्मिनल सर्व्हरशी रिमोट कनेक्शनसाठी एक साधे आणि तुलनेने सुरक्षित तंत्रज्ञान आहे. परंतु अधिक सुरक्षित कनेक्शनसाठी, तपासण्यासाठी पोर्ट जोडून, आमच्या पोर्ट नॉकिंग पद्धतीला अनेक ऑर्डरद्वारे आक्रमण करणे अधिक कठीण केले जाऊ शकते - समान तर्क वापरून, तुम्ही 3,4,5,6... पोर्ट जोडू शकता आणि या प्रकरणात, आपल्या नेटवर्कमध्ये थेट घुसखोरी जवळजवळ अशक्य होईल.

RDP ला रिमोट कनेक्शन तयार करण्यासाठी फाइल तयारी.

स्त्रोत: www.habr.com

ऑफिसमध्ये रिमोट काम. आरडीपी, पोर्ट नॉकिंग, मिक्रोटिक: साधे आणि सुरक्षित

एक टिप्पणी जोडा Отменить ответ