Рад на даљину у канцеларији. РДП, Порт Кноцкинг, Микротик: једноставно и сигурно

Због пандемије вируса цовид-19 и општег карантина у многим земљама, једини начин да многе компаније наставе да раде је даљински приступ радним местима путем интернета. Постоји много релативно безбедних метода за даљински рад – али с обзиром на размере проблема, потребан је метод који је једноставан за сваког корисника да се повеже са канцеларијом на даљину и без потребе за додатним подешавањима, објашњењима, заморним консултацијама и дугим упутства. Ову методу воле многи администратори РДП (Ремоте Десктоп Протоцол). Директно повезивање са радном станицом преко РДП-а идеално решава наш проблем, осим једне велике муке - држати РДП порт отворен за Интернет је веома несигурно. Стога у наставку предлажем једноставан, али поуздан метод заштите.

Пошто често наилазим на мале организације у којима се Микротик уређаји користе као интернет конекција, у наставку ћу показати како то имплементирати на Микротик, али метода заштите од удара порта се лако може имплементирати на друге уређаје више класе са сличним подешавањима улазног рутера и ватрени зид

Укратко о Порт Кноцкингу. Идеална спољна заштита мреже повезане на Интернет је када су сви ресурси и портови затворени споља заштитним зидом. И иако рутер са тако конфигурисаним заштитним зидом ни на који начин не реагује на пакете који долазе споља, он их слуша. Због тога можете да конфигуришете рутер тако да када прими одређену (код) секвенцу мрежних пакета на различитим портовима, он (рутер) за ИП одакле су пакети дошли, ускрати приступ одређеним ресурсима (портовима, протоколима итд.). .).

Сада на ствар. Нећу давати детаљан опис постављања заштитног зида на Микротику - Интернет је пун квалитетних извора за ово. У идеалном случају, заштитни зид блокира све долазне пакете, али

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

Дозвољава долазни саобраћај са већ успостављених (успостављених, повезаних) веза.
Сада конфигуришемо Порт Кноцкинг на Микротику:

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

Сада детаљније:

прва два правила

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

забрани долазне пакете са ИП адреса које су биле на црној листи током скенирања портова;

Треће правило:

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

додаје ип на листу хостова који су извршили исправан први ударац на жељени порт (19000);
Следећа четири правила:

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

креирајте трап портове за оне који желе да скенирају ваше портове, а када се такви покушаји открију, стављају свој ИП на црну листу на 60 минута, током којих прва два правила неће дати таквим домаћинима прилику да куцају на исправне портове;

Следеће правило:

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

ставља ИП у листу дозвољених на 1 минут (довољно за успостављање везе), пошто се други исправан куцање врши на жељеном порту (16000);

Следећа команда:

move [/ip firewall filter find comment=RemoteRules] 1

помера наша правила навише у ланцу обраде заштитног зида, пошто ћемо највероватније већ имати конфигурисана различита правила забране која ће спречити наша новостворена да раде. Прво правило у Микротику почиње од нуле, али на мом уређају нула је била заузета уграђеним правилом и било је немогуће да га померим - померио сам га на 1. Стога, гледамо наша подешавања - где можемо да је померимо и означите жељени број.

Следеће подешавање:

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

прослеђује насумично одабрани порт 33890 на обичан РДП порт 3389 и ИП рачунара или терминал сервера који нам је потребан. Ми креирамо таква правила за све неопходне интерне ресурсе, по могућству постављајући нестандардне (и различите) спољне портове. Наравно, ИП интерних ресурса мора бити или статичан или додељен ДХЦП серверу.

Сада је наш Микротик конфигурисан и потребна нам је лака процедура да се корисник повеже на наш интерни РДП. Пошто углавном имамо Виндовс кориснике, креирамо једноставну бат датотеку и зовемо је СтартРДП.бат:

1.htm
1.rdp

сходно томе 1.хтм садржи следећи код:

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
нажмите обновить страницу для повторного захода по RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

овде се налазе две везе до замишљених слика које се налазе на адреси ми_роутер.сн.минетнаме.нет - ову адресу преузимамо из Микротик ДДНС система након што смо ово омогућили у нашем Микротику: идите на ИП->Цлоуд мени - означите ДДНС Енаблед кликните на Примени и копирајте днс име нашег рутера. Али ово је неопходно само када је спољна ИП адреса рутера динамична или се користи конфигурација са неколико Интернет провајдера.

Порт у првој вези: 19000 одговара првом порту на који треба да куцате, у другом одговара другом. Између линкова налази се кратка инструкција која показује шта да радимо ако се изненада наша веза прекине због кратких мрежних проблема - освежавамо страницу, поново нам се отвара РДП порт на 1 минут и наша сесија се обнавља. Такође, текст између имг тагова ствара микро-кашњење за претраживач, што смањује вероватноћу да први пакет буде испоручен на други порт (16000) – до сада није било таквих случајева за две недеље коришћења (30 људи).

Следи 1.рдп фајл, који можемо да конфигуришемо за сваког или посебно за сваког корисника (то сам и урадио - лакше је потрошити додатних 15 минута него неколико сати консултујући оне који то нису могли да схвате)

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

Једно од занимљивих подешавања овде је употреба мултимон:и:1 - ово укључује употребу више монитора - неким људима је ово потребно, али не помишљају да га сами укључе.

тип везе:и:6 и нетворкаутодетецт:и:0 - пошто је већина Интернета изнад 10 Мбита, онда омогућите тип везе 6 (локална мрежа 10 Мбит и више) и онемогућите аутоматско откривање мреже, јер ако је подразумевано (ауто), онда чак и ретко мало кашњење мреже аутоматски поставља брзину за нашу сесију на нижу брзину на дуже време, што може створити приметна кашњења у раду, посебно у графичким програмима.

онемогући позадину:и:1 - онемогући слику радне површине
усернаме:с:миусерлогин - указујемо на корисничко име, пошто значајан део наших корисника не зна своју пријаву
домаин:с:мидомаин - назначите име домена или рачунара

Али ако желимо да поједноставимо задатак креирања процедуре повезивања, можемо користити и ПоверСхелл - СтартРДП.пс1

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

Такође мало о РДП клијенту у Виндовс-у: МС је прешао дуг пут у оптимизацији протокола и његових серверских и клијентских делова, имплементирајући многе корисне функције – као што је рад са хардверским 3Д, оптимизација резолуције екрана за ваш монитор, више екрана, итд. Али наравно, све је имплементирано у режиму компатибилности уназад и ако је клијент Виндовс 7, а удаљени рачунар Виндовс 10, онда ће РДП радити користећи верзију протокола 7.0. Али, на срећу, можете ажурирати РДП верзије на новије верзије – на пример, можете надоградити верзију протокола са 7.0 (Виндовс 7) на 8.1. Због тога, ради погодности клијената, потребно је да максимизирате верзије серверског дела, као и да обезбедите везе за ажурирање на нове верзије клијената РДП протокола.

Као резултат, имамо једноставну и релативно сигурну технологију за даљинско повезивање са радним рачунаром или терминал сервером. Али за сигурнију везу, наш метод Порт Кноцкинг може бити отежан за напад за неколико редова величине, додавањем портова за проверу – користећи исту логику, можете додати 3,4,5,6... порт и у овом случају, директан упад у вашу мрежу биће готово немогућ.

Припреме датотеке за креирање удаљене везе са РДП-ом.

Извор: ввв.хабр.цом