🥇 कार्यालयमा टाढाको काम। RDP, पोर्ट नकिङ, Mikrotik: सरल र सुरक्षित

Covid-19 भाइरस महामारी र धेरै देशहरूमा सामान्य क्वारेन्टाइनका कारण, धेरै कम्पनीहरूको लागि काम जारी राख्नको लागि एक मात्र तरिका इन्टरनेट मार्फत कार्यस्थलहरूमा टाढाको पहुँच हो। टाढाको कामको लागि धेरै अपेक्षाकृत सुरक्षित विधिहरू छन् - तर समस्याको मापनलाई ध्यानमा राख्दै, के चाहिन्छ जुन कुनै पनि प्रयोगकर्तालाई कार्यालयमा टाढैबाट जडान गर्नको लागि सरल छ र अतिरिक्त सेटिङहरू, स्पष्टीकरणहरू, कठिन परामर्शहरू र लामो समयको आवश्यकता बिना। निर्देशनहरू। यो विधि धेरै प्रशासक RDP (रिमोट डेस्कटप प्रोटोकल) द्वारा मनपर्छ। RDP मार्फत सिधै वर्कस्टेशनमा जडान गर्दा हाम्रो समस्याको समाधान हुन्छ, मलममा एउटा ठूलो फ्लाई बाहेक - इन्टरनेटको लागि RDP पोर्ट खुला राख्नु धेरै असुरक्षित छ। त्यसकारण, तल म सुरक्षाको एक सरल तर भरपर्दो विधि प्रस्ताव गर्दछु।

म प्रायः स-साना संस्थाहरू भेट्छु जहाँ Mikrotik यन्त्रहरू इन्टरनेट जडानको रूपमा प्रयोग गरिन्छ, तल म यसलाई Mikrotik मा कसरी लागू गर्ने भनेर देखाउनेछु, तर पोर्ट नकिङ सुरक्षा विधि सजिलैसँग अन्य उच्च-स्तरीय उपकरणहरूमा समान इनपुट राउटर सेटिङहरूमा लागू गर्न सकिन्छ। फायरवाल

संक्षेपमा पोर्ट नकिङको बारेमा। इन्टरनेटमा जडान भएको सञ्जालको आदर्श बाह्य सुरक्षा भनेको जब सबै स्रोत र पोर्टहरू फायरवालद्वारा बाहिरबाट बन्द हुन्छन्। र यद्यपि यस्तो कन्फिगर गरिएको फायरवाल भएको राउटरले बाहिरबाट आउने प्याकेटहरूमा कुनै पनि तरिकामा प्रतिक्रिया गर्दैन, यसले तिनीहरूलाई सुन्छ। त्यसकारण, तपाइँ राउटर कन्फिगर गर्न सक्नुहुन्छ ताकि जब यसले विभिन्न पोर्टहरूमा नेटवर्क प्याकेटहरूको निश्चित (कोड) अनुक्रम प्राप्त गर्दछ, यो (राउटर) आईपीको लागि जहाँबाट प्याकेटहरू आयो, निश्चित स्रोतहरू (पोर्टहरू, प्रोटोकलहरू, आदि) मा पहुँच अस्वीकार गर्दछ। ।)

अब बिन्दुमा। म Mikrotik मा फायरवाल सेटअप गर्ने विस्तृत विवरण दिने छैन - इन्टरनेट यसको लागि गुणस्तर स्रोतहरूले भरिएको छ। आदर्श रूपमा, फायरवालले सबै आगमन प्याकेटहरूलाई रोक्छ, तर

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

पहिले नै स्थापित (स्थापित, सम्बन्धित) जडानहरूबाट आगमन ट्राफिकलाई अनुमति दिन्छ।
अब हामी Mikrotik मा पोर्ट नकिङ कन्फिगर गर्छौं:

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

अब थप विवरणमा:

पहिलो दुई नियम

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

पोर्ट स्क्यानिङको क्रममा कालोसूचीमा परेका IP ठेगानाहरूबाट आगमन प्याकेटहरू निषेध गर्नुहोस्;

तेस्रो नियम:

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

इच्छित पोर्ट (19000) मा सही पहिलो नक गर्ने होस्टहरूको सूचीमा ip थप्छ;
निम्न चार नियमहरू:

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

तपाईंको पोर्टहरू स्क्यान गर्न चाहनेहरूका लागि ट्र्याप पोर्टहरू सिर्जना गर्नुहोस्, र जब त्यस्ता प्रयासहरू पत्ता लगाइन्छ, तिनीहरूले आफ्नो आईपीलाई 60 मिनेटको लागि कालोसूचीमा राख्छन्, जसको अवधिमा पहिलो दुई नियमहरूले त्यस्ता होस्टहरूलाई सही पोर्टहरूमा ढकढक गर्ने मौका दिने छैनन्;

अर्को नियम:

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

1 मिनेट (एक जडान स्थापना गर्न पर्याप्त) को लागि अनुमति दिइएको सूचीमा ip राख्छ, किनकि दोस्रो सही नक इच्छित पोर्ट (16000) मा बनाइएको छ;

अर्को आदेश:

move [/ip firewall filter find comment=RemoteRules] 1

हाम्रा नियमहरूलाई फायरवाल प्रशोधन श्रृंखला माथि लैजान्छ, किनकि सम्भवतः हामीसँग पहिले नै विभिन्न निषेध गर्ने नियमहरू कन्फिगर गरिएका छन् जसले हाम्रा नयाँ सिर्जना गरिएकाहरूलाई काम गर्नबाट रोक्नेछन्। Mikrotik मा पहिलो नियम शून्यबाट सुरु हुन्छ, तर मेरो यन्त्रमा शून्यलाई अन्तर्निहित नियमले ओगटेको थियो र यसलाई सार्न असम्भव थियो - मैले यसलाई 1 मा सार्नुभयो। त्यसैले, हामी हाम्रा सेटिङहरू हेर्छौं - जहाँ हामी यसलाई सार्न सक्छौं। र इच्छित संख्या संकेत गर्नुहोस्।

अर्को सेटिङ:

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

अनियमित रूपमा चयन गरिएको पोर्ट 33890 लाई नियमित RDP पोर्ट 3389 र कम्प्युटर वा टर्मिनल सर्भरको आईपीमा फर्वार्ड गर्छ। हामी सबै आवश्यक आन्तरिक स्रोतहरूको लागि त्यस्ता नियमहरू सिर्जना गर्छौं, प्राथमिकतामा गैर-मानक (र फरक) बाह्य पोर्टहरू सेट गर्दै। स्वाभाविक रूपमा, आन्तरिक स्रोतहरूको IP या त स्थिर वा DHCP सर्भरमा तोकिएको हुनुपर्छ।

अब हाम्रो Mikrotik कन्फिगर गरिएको छ र प्रयोगकर्तालाई हाम्रो आन्तरिक RDP मा जडान गर्न हामीलाई सजिलो प्रक्रिया चाहिन्छ। हामीसँग धेरै जसो विन्डोज प्रयोगकर्ताहरू भएकाले, हामी एउटा साधारण ब्याट फाइल सिर्जना गर्छौं र यसलाई StartRDP.bat भन्छौं:

1.htm
1.rdp

तदनुसार 1.htm ले निम्न कोड समावेश गर्दछ:

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
нажмите обновить страницу для повторного захода по RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

यहाँ my_router.sn.mynetname.net ठेगानामा अवस्थित काल्पनिक तस्बिरहरूको दुई लिङ्कहरू समावेश छन् - हामी यो ठेगाना Mikrotik DDNS प्रणालीबाट लिन्छौं यसलाई हाम्रो Mikrotik मा सक्षम गरेपछि: IP->क्लाउड मेनुमा जानुहोस् - DDNS सक्षम जाँच गर्नुहोस्। बक्समा, लागू गर्नुहोस् क्लिक गर्नुहोस् र हाम्रो राउटरको dns नाम प्रतिलिपि गर्नुहोस्। तर यो मात्र आवश्यक छ जब राउटर को बाह्य आईपी गतिशील छ वा धेरै इन्टरनेट प्रदायक संग कन्फिगरेसन प्रयोग गरिन्छ।

पहिलो लिङ्कमा रहेको पोर्ट: 19000 पहिलो पोर्टसँग मिल्दोजुल्दो छ जसमा तपाईंले ढकढक गर्न आवश्यक छ, दोस्रोमा यो दोस्रोसँग मेल खान्छ। लिङ्कहरू बीच त्यहाँ छोटो निर्देशन छ जसले छोटो नेटवर्क समस्याहरूको कारणले गर्दा अचानक हाम्रो जडान अवरुद्ध भएको खण्डमा के गर्ने भनेर देखाउँछ - हामी पृष्ठलाई ताजा गर्छौं, RDP पोर्ट हाम्रो लागि 1 मिनेटको लागि पुन: खोलिएको छ र हाम्रो सत्र पुनर्स्थापित हुन्छ। साथै, img ट्यागहरू बीचको पाठले ब्राउजरको लागि माइक्रो-ढिलाइ सिर्जना गर्दछ, जसले पहिलो प्याकेट दोस्रो पोर्ट (16000) मा डेलिभर हुने सम्भावना कम गर्दछ - अहिलेसम्म दुई हप्ताको प्रयोगमा त्यस्ता केसहरू छैनन् (30) मानिसहरू)।

अर्को 1.rdp फाइल आउँछ, जुन हामीले सबैका लागि वा प्रत्येक प्रयोगकर्ताको लागि छुट्टै कन्फिगर गर्न सक्छौं (मैले के गरें - यो पत्ता लगाउन नसक्नेहरूसँग परामर्श गर्न धेरै घण्टा भन्दा बढी 15 मिनेट खर्च गर्न सजिलो छ)।

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

यहाँ एउटा चाखलाग्दो सेटिङहरू multimon:i:1 को प्रयोग हो - यसले बहु मोनिटरहरूको प्रयोग समावेश गर्दछ - केही मानिसहरूलाई यो चाहिन्छ, तर तिनीहरू आफैले यसलाई खोल्ने बारे सोच्दैनन्।

जडान प्रकार:i:6 र networkautodetect:i:0 - इन्टरनेटको अधिकांश 10 Mbit भन्दा माथि भएकोले, त्यसपछि जडान प्रकार 6 (स्थानीय नेटवर्क 10 Mbit र माथि) सक्षम पार्नुहोस् र networkautodetect असक्षम गर्नुहोस्, किनकि यदि पूर्वनिर्धारित (स्वचालित) हो भने, त्यसो भए पनि दुर्लभ सानो नेटवर्क विलम्बताले स्वचालित रूपमा हाम्रो सत्रको लागि कम गतिमा लामो समयको लागि गति सेट गर्दछ, जसले काममा उल्लेखनीय ढिलाइहरू सिर्जना गर्न सक्छ, विशेष गरी ग्राफिक्स प्रोग्रामहरूमा।

वालपेपर असक्षम गर्नुहोस्:i:1 - डेस्कटप चित्र असक्षम गर्नुहोस्
प्रयोगकर्ता नाम:s:myuserlogin - हामी प्रयोगकर्ता लगइनलाई संकेत गर्छौं, किनकि हाम्रा प्रयोगकर्ताहरूको एक महत्त्वपूर्ण भागलाई उनीहरूको लगइन थाहा छैन
domain:s:mydomain - डोमेन वा कम्प्युटर नाम संकेत गर्नुहोस्

तर यदि हामी जडान प्रक्रिया सिर्जना गर्ने कार्यलाई सरल बनाउन चाहन्छौं भने, हामी PowerShell - StartRDP.ps1 पनि प्रयोग गर्न सक्छौं।

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

साथै Windows मा RDP क्लाइन्टको बारेमा थोरै: MS ले प्रोटोकल र यसको सर्भर र क्लाइन्ट पार्ट्सलाई अनुकूलन गर्न, धेरै उपयोगी सुविधाहरू कार्यान्वयन गर्न लामो बाटो आएको छ - जस्तै हार्डवेयर 3D सँग काम गर्ने, तपाईंको मनिटरको लागि स्क्रिन रिजोल्युसनलाई अनुकूलन गर्ने, बहु-स्क्रिन, आदि तर निस्सन्देह, सबै कुरा पछाडि अनुकूलता मोडमा लागू गरिएको छ र यदि क्लाइन्ट Windows 7 हो र रिमोट पीसी हो Windows 10, त्यसपछि RDP प्रोटोकल संस्करण 7.0 प्रयोग गरेर काम गर्नेछ। तर सौभाग्यवश, तपाईंले RDP संस्करणहरूलाई हालैका संस्करणहरूमा अद्यावधिक गर्न सक्नुहुन्छ - उदाहरणका लागि, तपाईंले प्रोटोकल संस्करण 7.0 (Windows 7) बाट 8.1 मा अपग्रेड गर्न सक्नुहुन्छ। त्यसकारण, ग्राहकहरूको सुविधाको लागि, तपाईंले सर्भर भागको संस्करणहरू अधिकतम बनाउन आवश्यक छ, र RDP प्रोटोकल क्लाइन्टहरूको नयाँ संस्करणहरूमा अद्यावधिक गर्न लिङ्कहरू पनि प्रदान गर्न आवश्यक छ।

नतिजाको रूपमा, हामीसँग कार्य पीसी वा टर्मिनल सर्भरमा रिमोट जडानको लागि सरल र अपेक्षाकृत सुरक्षित प्रविधि छ। तर थप सुरक्षित जडानको लागि, हाम्रो पोर्ट नकिङ विधिलाई जाँच गर्न पोर्टहरू थपेर म्याग्निच्युडका धेरै अर्डरहरूद्वारा आक्रमण गर्न अझ गाह्रो बनाउन सकिन्छ - एउटै तर्क प्रयोग गरेर, तपाईंले 3,4,5,6... पोर्ट र थप्न सक्नुहुन्छ। यस अवस्थामा, तपाईंको नेटवर्कमा प्रत्यक्ष घुसपैठ लगभग असम्भव हुनेछ।

RDP मा रिमोट जडान सिर्जना गर्न फाइल तयारीहरू.

स्रोत: www.habr.com

कार्यालयमा टाढाको काम। RDP, पोर्ट नकिङ, Mikrotik: सरल र सुरक्षित

एक टिप्पणी थप्न Отменить ответ