ရုံးမှာ အဝေးထိန်းအလုပ်။ RDP၊ Port Knocking၊ Mikrotik- ရိုးရှင်းပြီး လုံခြုံသည်။

နိုင်ငံအများအပြားတွင် COVID-19 ဗိုင်းရပ်စ် ကူးစက်ပျံ့နှံ့မှုနှင့် အထွေထွေ quarantine ကြောင့် ကုမ္ပဏီအများအပြား ဆက်လက်လုပ်ကိုင်ရန် တစ်ခုတည်းသောနည်းလမ်းမှာ အင်တာနက်မှတစ်ဆင့် အလုပ်ခွင်များသို့ အဝေးမှဝင်ရောက်ခြင်းပင်ဖြစ်သည်။ ဝေးလံခေါင်သီသောအလုပ်အတွက် အတော်အတန်ဘေးကင်းသောနည်းလမ်းများစွာရှိသည် - သို့သော် ပြဿနာ၏အတိုင်းအတာအရ၊ ရုံးသို့အဝေးမှချိတ်ဆက်ရန်မည်သည့်အသုံးပြုသူအတွက်မဆို ရိုးရှင်းသောနည်းလမ်းလိုအပ်ပြီး အပိုဆက်တင်များ၊ ရှင်းလင်းချက်များ၊ ပျင်းရိသောညှိနှိုင်းမှုများနှင့် ရှည်လျားသောညွှန်ကြားချက်များမလိုအပ်ဘဲ လိုအပ်ပါသည်။ ဤနည်းလမ်းကို စီမံခန့်ခွဲသူအများအပြားက RDP (Remote Desktop Protocol) နှစ်သက်ကြသည်။ RDP မှတစ်ဆင့် လုပ်ငန်းခွင်သို့ တိုက်ရိုက်ချိတ်ဆက်ခြင်းသည် ကျွန်ုပ်တို့၏ပြဿနာကို အကောင်းဆုံးဖြေရှင်းနိုင်သည် - အင်တာနက်အတွက် RDP port ကိုဖွင့်ထားခြင်းသည် အလွန်အန္တရာယ်ကင်းပါသည်။ ထို့ကြောင့်၊ အောက်တွင် ကျွန်ုပ်သည် ရိုးရှင်းသော်လည်း ယုံကြည်စိတ်ချရသော ကာကွယ်မှုနည်းလမ်းကို တင်ပြပါသည်။

Mikrotik စက်ပစ္စည်းများကို အင်တာနက်အသုံးပြုခွင့်အဖြစ် အသုံးပြုသည့် အဖွဲ့အစည်းငယ်များကို မကြာခဏတွေ့နေရသောကြောင့်၊ အောက်တွင် ၎င်းကို Mikrotik တွင် မည်သို့အကောင်အထည်ဖော်ရမည်ကို ပြသထားမည်ဖြစ်ပြီး၊ သို့သော် Port Knocking ကာကွယ်မှုနည်းလမ်းကို အလားတူထည့်သွင်း router ဆက်တင်များနှင့် firewall ရှိသည့် အခြားအဆင့်မြင့်စက်ပစ္စည်းများတွင် အလွယ်တကူ အကောင်အထည်ဖော်နိုင်သည် .

Port Knocking အကြောင်း အကျဉ်းချုပ်ပါ။. အင်တာနက်နှင့်ချိတ်ဆက်ထားသော ကွန်ရက်တစ်ခု၏ စံပြပြင်ပကာကွယ်မှုမှာ အရင်းအမြစ်များနှင့် ဆိပ်ကမ်းများအားလုံးကို firewall ဖြင့် ပြင်ပမှပိတ်ထားသည့်အခါဖြစ်သည်။ ထိုကဲ့သို့ configured firewall ပါသည့် router သည် ပြင်ပမှလာသော packet များကို မည်သို့မျှ မတုံ့ပြန်သော်လည်း ၎င်းတို့ကို နားထောင်သည်။ ထို့ကြောင့်၊ သင်သည် မတူညီသော ports များတွင် network packet များ၏ အချို့သော (code) sequence ကို လက်ခံရရှိသောအခါ၊ packets များသည် အချို့သောအရင်းအမြစ်များသို့ဝင်ရောက်ခွင့်ဖြတ်တောက်ခြင်းမှလာသော IP အတွက် router (သို့) router သည် ၎င်း (သို့) router) ကို configure လုပ်နိုင်ပါသည်။ စသည်ဖြင့်)။

အခု စီးပွားရေးလုပ်တယ်။ Mikrotik ရှိ firewall ဆက်တင်များ၏ အသေးစိတ်ဖော်ပြချက်ကို ကျွန်ုပ်လုပ်ဆောင်မည်မဟုတ်ပါ - ဤအတွက် အင်တာနက်သည် အရည်အသွေးမြင့်သောရင်းမြစ်များနှင့် ပြည့်နေပါသည်။ အကောင်းဆုံးကတော့ firewall က ဝင်လာတဲ့ packet အားလုံးကို ပိတ်ဆို့ပေမယ့်

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

သတ်မှတ်ထားသော၊ ဆက်စပ်ချိတ်ဆက်မှုများမှ အဝင်အသွားအလာကို ခွင့်ပြုသည်။
ယခု ကျွန်ုပ်တို့သည် Mikrotik တွင် Port Knocking ကို စနစ်ထည့်သွင်းထားပါသည်။

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

ယခုပိုမိုအသေးစိတ်အတွက်-

ပထမစည်းမျဉ်းနှစ်ခု

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

ဆိပ်ကမ်းစကင်န်ဖတ်နေစဉ်အတွင်း အမည်ပျက်စာရင်းသွင်းထားသော IP လိပ်စာများမှ ဝင်လာသော ပက်ကတ်များကို တားမြစ်ပါ။

တတိယစည်းမျဉ်း-

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

မှန်ကန်သော port ကို မှန်ကန်သော ပထမဆုံး ခေါက်ခြင်း (19000);
နောက်စည်းမျဉ်းလေးခုကတော့-

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

သင်၏ ports များကိုစကင်န်ဖတ်လိုသူများအတွက် ထောင်ချောက် ports များဖန်တီးပြီး ထိုသို့သောကြိုးပမ်းမှုများကိုတွေ့ရှိပါက ၎င်းတို့၏ ip ကို မိနစ် 60 ကြာ blacklist စာရင်းသွင်းပါ၊ ထိုကာလအတွင်းပထမစည်းမျဉ်းနှစ်ခုသည်ထို host များအားမှန်ကန်သော port များကိုခေါက်ရန်အခွင့်အရေးမပေးပေ။

နောက်စည်းမျဉ်း-

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

လိုချင်သော port (1) တွင်ဒုတိယမှန်ကန်သောခေါက်ကိုပြုလုပ်သောကြောင့် ip ကိုခွင့်ပြုထားသောစာရင်းတွင် 16000 မိနစ် (ချိတ်ဆက်မှုတစ်ခုတည်ဆောက်ရန်လုံလောက်သည်)၊

နောက်ထပ်အမိန့်တော်-

move [/ip firewall filter find comment=RemoteRules] 1

ကျွန်ုပ်တို့၏ စည်းမျဉ်းများကို firewall လုပ်ဆောင်ခြင်းကွင်းဆက်သို့ ရွေ့လျားစေသည်၊ အဘယ်ကြောင့်ဆိုသော် ကျွန်ုပ်တို့သည် ကျွန်ုပ်တို့၏ အသစ်ဖန်တီးထားသော အသစ်များကို အလုပ်လုပ်ခြင်းမှ တားဆီးမည့် ကွဲပြားခြားနားသော ငြင်းပယ်မှုဆိုင်ရာ စည်းမျဉ်းများကို ပြင်ဆင်ပြီးသားဖြစ်နိုင်ဖွယ်ရှိသည်။ Mikrotik တွင် ပထမဆုံးစည်းမျဉ်းသည် သုညမှစတင်သည်၊ သို့သော် ကျွန်ုပ်၏စက်ပစ္စည်းတွင် သုညကိုထည့်သွင်းထားသောစည်းမျဉ်းတစ်ခုက သိမ်းပိုက်ထားပြီး ၎င်းကိုရွှေ့ရန်မဖြစ်နိုင် - ငါ၎င်းကို 1 သို့ရွှေ့ထားသည်။ ထို့ကြောင့်၊ ကျွန်ုပ်တို့၏ဆက်တင်များကိုကြည့်ပါ - ၎င်းကိုသင်ရွှေ့နိုင်သည့်နေရာ လိုချင်သောနံပါတ်ကိုညွှန်ပြပါ။

နောက်ဆက်တင်-

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

မထင်သလိုရွေးချယ်ထားသော port 33890 ကို ပုံမှန် RDP port 3389 နှင့် ကျွန်ုပ်တို့လိုအပ်သော ကွန်ပျူတာ သို့မဟုတ် terminal server ၏ ip ကို ပေးပို့သည်။ ကျွန်ုပ်တို့သည် စံမဟုတ်သော (နှင့် မတူညီသော) ပြင်ပ port များကို သတ်မှတ်ခြင်းထက် လိုအပ်သော ပြည်တွင်းအရင်းအမြစ်များ အားလုံးအတွက် ထိုကဲ့သို့သော စည်းမျဉ်းများကို ဖန်တီးပါသည်။ သဘာဝအားဖြင့်၊ အတွင်းပိုင်းရင်းမြစ်များ၏ ip သည် static သို့မဟုတ် DHCP ဆာဗာတွင် ပုံသေဖြစ်ရမည်။

ယခု ကျွန်ုပ်တို့၏ Mikrotik ကို ပြင်ဆင်သတ်မှတ်ထားပြီး ကျွန်ုပ်တို့၏အတွင်းပိုင်း RDP နှင့် ချိတ်ဆက်ရန်အတွက် အသုံးပြုသူအတွက် ရိုးရှင်းသောလုပ်ငန်းစဉ်တစ်ခု လိုအပ်ပါသည်။ ကျွန်ုပ်တို့တွင် အဓိကအားဖြင့် Windows အသုံးပြုသူများရှိသောကြောင့်၊ ကျွန်ုပ်တို့သည် ရိုးရှင်းသော bat ဖိုင်ကို ဖန်တီးပြီး ၎င်းကို StartRDP.bat ဟု အမည်ပေးသည်။

1.htm
1.rdp

အသီးသီး 1.htm တွင် အောက်ပါကုဒ်များ ပါဝင်သည်-

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
нажмите обновить страницу для повторного захода по RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

၎င်းတွင် my_router.sn.mynetname.net တွင်ရှိသော စိတ်ကူးယဉ်ပုံများဆီသို့ လင့်ခ်နှစ်ခုပါရှိသည် - ကျွန်ုပ်တို့၏ Mikrotik တွင် ၎င်းကိုဖွင့်ပြီးနောက် ဤလိပ်စာကို Mikrotik DDNS စနစ်မှယူပါသည်- IP-> Cloud မီနူးသို့သွားပါ - DDNS Enabled checkbox ကိုစစ်ဆေးပါ၊ Apply ကိုနှိပ်ပြီး ကျွန်ုပ်တို့၏ router ၏ dns အမည်ကို ကူးယူပါ။ သို့သော် router ၏ ပြင်ပ ip သည် ပြောင်းလဲနေသည် သို့မဟုတ် အင်တာနက် ပံ့ပိုးပေးသူအများအပြားနှင့် ဖွဲ့စည်းမှုပုံစံကို အသုံးပြုသည့်အခါမှသာ ၎င်းသည် လိုအပ်ပါသည်။

ပထမလင့်ခ်ရှိ ဆိပ်ကမ်း- 19000 သည် သင်ခေါက်ရန် လိုအပ်သည့် ပထမ port နှင့် ကိုက်ညီသည်၊ ဒုတိယတွင်၊ အသီးသီး၊ ဒုတိယဆီသို့။ လင့်ခ်များကြားတွင် တိုတောင်းသော ကွန်ရက်ပြဿနာများကြောင့် ကျွန်ုပ်တို့၏ ချိတ်ဆက်မှု ပြတ်တောက်သွားပါက ဘာလုပ်ရမည်ကို ပြသသည့် တိုတောင်းသော ညွှန်ကြားချက်တစ်ခု ရှိသည် - ကျွန်ုပ်တို့သည် စာမျက်နှာကို ပြန်လည်ဆန်းသစ်ပြီး RDP ဆိပ်ကမ်းသည် ကျွန်ုပ်တို့အတွက် 1 မိနစ်ကြာ ပြန်ဖွင့်ပြီး ကျွန်ုပ်တို့၏ session ကို ပြန်လည်ရယူပါသည်။ ထို့အပြင်၊ img tags များကြားရှိ စာသားများသည် browser အတွက် micro-delay ဖြစ်စေသည်၊ ၎င်းသည် ပထမ packet ကို ဒုတိယ port (16000) သို့ ပို့ဆောင်နိုင်ခြေကို လျော့နည်းစေသည် - ယခုအချိန်အထိ အသုံးပြုပြီး နှစ်ပတ်အတွင်း ထိုသို့သော ကိစ္စများ မရှိသေးပါ (30 လူများ)။

နောက်တစ်ခုက အသုံးပြုသူတိုင်းအတွက် တစ်ခုစီ ဒါမှမဟုတ် သီးခြားစီစီစဉ်ပေးနိုင်တဲ့ 1.rdp ဖိုင်တစ်ခု ရောက်လာပါတယ် (ဒါကို ကျွန်တော်လုပ်ခဲ့တယ် - အဲဒါကို နားမလည်သူတွေကို တိုင်ပင်ပြီး နာရီအနည်းငယ်ကြာတာထက် အပို 15 မိနစ် ပိုသုံးရတာ ပိုလွယ်ပါတယ်)

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

ဤနေရာတွင် စိတ်ဝင်စားစရာကောင်းသော ဆက်တင်များ၏ မှာ multimon ကို အသုံးပြုခြင်းဖြစ်သည်- i: 1 - ၎င်းတွင် မော်နီတာများစွာကို အသုံးပြုခြင်း ပါ၀င်သည် - အချို့က ၎င်းကို လိုအပ်သော်လည်း ၎င်းတို့ကိုယ်တိုင်က ၎င်းကို ဖွင့်ရန် စဉ်းစားမည်မဟုတ်ပါ။

ချိတ်ဆက်မှုအမျိုးအစား- i: 6 နှင့် networkautodetect: i: 0 - အင်တာနက်အများစုသည် 10 Mbps အထက်ဖြစ်သောကြောင့်၊ ထို့နောက် ချိတ်ဆက်မှုအမျိုးအစား 6 (ဒေသခံကွန်ရက် 10 Mbps နှင့်အထက်) ကိုဖွင့်ပြီး networkautodetect ကိုပိတ်ပါ၊ အဘယ်ကြောင့်ဆိုသော် ပုံမှန်အားဖြင့် (အလိုအလျောက်) ဖြစ်ပါက၊ ထို့နောက်တွင် ရှားပါးသော သေးငယ်သော ကွန်ရက် latency သည်ပင် ကျွန်ုပ်တို့၏ session ကို နှေးကွေးသော အမြန်နှုန်းသို့ အချိန်အကြာကြီး အလိုအလျောက် သတ်မှတ်ပေးသည်၊ ၎င်းသည် အထူးသဖြင့် ဂရပ်ဖစ်ပရိုဂရမ်များတွင် အလုပ်လုပ်ရာတွင် သိသာထင်ရှားသော နှောင့်နှေးမှုများကို ဖန်တီးပေးပါသည်။

နောက်ခံပုံများကိုပိတ်ပါ- i- 1 - ဒက်စတော့ပုံအား ပိတ်ပါ။
username:s:myuserlogin - ကျွန်ုပ်တို့၏အသုံးပြုသူများ၏ အရေးကြီးသော အစိတ်အပိုင်းတစ်ခုသည် ၎င်းတို့၏ login ကို မသိသောကြောင့် သုံးစွဲသူ၏ လော့ဂ်အင်ကို ကျွန်ုပ်တို့ သတ်မှတ်ပါသည်။
domain:s:mydomain - ဒိုမိန်း သို့မဟုတ် ကွန်ပျူတာအမည်ကို သတ်မှတ်ပါ။

ဒါပေမယ့် ချိတ်ဆက်မှုလုပ်ထုံးလုပ်နည်းကို ဖန်တီးရာမှာ ကျွန်ုပ်တို့ရဲ့တာဝန်ကို ရိုးရှင်းချင်တယ်ဆိုရင် PowerShell - StartRDP.ps1 ကိုလည်း အသုံးပြုနိုင်ပါတယ်။

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

Windows ရှိ RDP client အကြောင်း အနည်းငယ်လည်း ဖြစ်သည်- MS သည် ပရိုတိုကောနှင့် ၎င်း၏ဆာဗာနှင့် ကလိုင်းယင့် အစိတ်အပိုင်းများကို ပိုမိုကောင်းမွန်အောင် လုပ်ဆောင်ရာတွင် အတော်အတန်ကြာလာခဲ့ပြီး၊ ဟာ့ဒ်ဝဲ 3D နှင့် လုပ်ဆောင်ခြင်း၊ သင်၏ မော်နီတာအတွက် မျက်နှာပြင် ရုပ်ထွက်ကို ပိုကောင်းစေခြင်း၊ ဖန်သားပြင်မျိုးစုံ၊ နောက် ... ပြီးတော့။ သို့သော်၊ အရာအားလုံးကို backward compatibility mode တွင်အကောင်အထည်ဖော်ထားပြီး၊ client သည် Windows 7 ဖြစ်ပြီး၊ remote PC သည် Windows 10 ဖြစ်ပါက၊ RDP သည် protocol ဗားရှင်း 7.0 ကိုအသုံးပြု၍ အလုပ်လုပ်မည်ဖြစ်သည်။ သို့သော် အကျိုးကျေးဇူးမှာ သင်သည် RDP ဗားရှင်းများကို မကြာသေးမီက ဗားရှင်းများသို့ အပ်ဒိတ်လုပ်နိုင်ခြင်းဖြစ်သည် - ဥပမာ၊ သင်သည် ပရိုတိုကောဗားရှင်းကို 7.0 (Windows 7) မှ 8.1 သို့ အဆင့်မြှင့်နိုင်သည်။ ထို့ကြောင့်၊ ဖောက်သည်များ အဆင်ပြေစေရန်၊ ဆာဗာအပိုင်း၏ ဗားရှင်းများကို တတ်နိုင်သမျှ တိုးမြှင့်ရန်နှင့် RDP ပရိုတိုကော ဖောက်သည်များ၏ ဗားရှင်းအသစ်သို့ အဆင့်မြှင့်တင်ရန် လင့်ခ်များကို ချုံ့ရန် လိုအပ်သည်။

ရလဒ်အနေဖြင့်၊ ကျွန်ုပ်တို့တွင် အလုပ်လုပ်နေသော PC သို့မဟုတ် terminal ဆာဗာသို့ အဝေးမှချိတ်ဆက်မှုအတွက် ရိုးရှင်းပြီး လုံခြုံစိတ်ချရသောနည်းပညာတစ်ခုရှိသည်။ သို့သော် ပိုမိုလုံခြုံသော ချိတ်ဆက်မှုအတွက်၊ ကျွန်ုပ်တို့၏ Port Knocking နည်းလမ်းကို စစ်ဆေးရန် ဆိပ်ကမ်းများကို ပေါင်းထည့်ခြင်းဖြင့် ပြင်းအား အမြောက်အမြားဖြင့် တိုက်ခိုက်ရန် ပိုမိုခက်ခဲနိုင်သည် - တူညီသော ယုတ္တိဗေဒအရ ဆိပ်ကမ်းတစ်ခုကို 3,4,5,6 ပေါင်းထည့်နိုင်သည်။ ၊ ဤကိစ္စတွင် သင့်ကွန်ရက်ထဲသို့ တိုက်ရိုက်ဝင်ရောက်မှုသည် မဖြစ်နိုင်သလောက်ဖြစ်လိမ့်မည်။

RDP သို့ အဝေးထိန်းချိတ်ဆက်မှု ဖန်တီးရန်အတွက် ဖိုင်အလွတ်များ.

source: www.habr.com