Cum se deschide un port pentru desktop la distanță. Care este portul de conexiune RDP standard și cum să îl schimbați

Bună ziua, dragi cititori și oaspeți ai blogului, astăzi avem următoarea sarcină: schimbarea portului de intrare al serviciului RDP (server terminal) din standardul 3389 în altul. Permiteți-mi să vă reamintesc că serviciul RDP este o funcționalitate a sistemelor de operare Windows, datorită căreia puteți deschide o sesiune prin rețea către computerul sau serverul de care aveți nevoie folosind protocolul RDP și puteți lucra la el, ca și cum ați stăteau pe el la nivel local.

Ce este protocolul RDP

Înainte de a schimba ceva, ar fi bine să înțelegeți ce este și cum funcționează, vă tot spun despre asta. RDP sau Remote Desktop Protocol este un protocol desktop la distanță pentru sistemele de operare Microsoft Windows, deși originile sale provin de la PictureTel (Polycom). Microsoft tocmai a cumpărat-o. Folosit pentru lucrul de la distanță al unui angajat sau utilizator cu un server la distanță. Cel mai adesea, astfel de servere joacă rolul unui server terminal, pe care sunt alocate licențe speciale, fie pe utilizator, fie pe dispozitiv, CAL. Ideea aici a fost aceasta: există un server foarte puternic, atunci de ce să nu-i folosiți resursele împreună, de exemplu, pentru o aplicație 1C. Acest lucru devine deosebit de relevant odată cu apariția clienților subțiri.

Lumea a văzut serverul terminal în sine, deja în 1998 în sistemul de operare Windows NT 4.0 Terminal Server, ca să fiu sincer, nici măcar nu știam că există așa ceva, iar în Rusia la acea vreme cu toții jucam dandy sau sega. Clienții de conexiune RDP sunt disponibili în prezent în toate versiunile de Windows, Linux, MacOS, Android. Cea mai modernă versiune a protocolului RDP în acest moment este 8.1.

Port rdp implicit

Voi scrie imediat portul rdp implicit 3389, cred că toți administratorii de sistem îl știu.

Cum funcționează protocolul rdp

Și astfel, tu și cu mine înțelegem de ce am venit cu Protocolul Remote Desktop, acum este logic că trebuie să înțelegeți principiile funcționării acestuia. Microsoft distinge două moduri ale protocolului RDP:

Modul de administrare la distanță > pentru administrare, te duci la serverul de la distanță și îl configurezi și îl administrezi
Modul Terminal Server > pentru a accesa serverul de aplicații, aplicația de la distanță sau pentru a le partaja pentru serviciu.

În general, dacă instalați Windows Server 2008 R2 - 2016 fără un server terminal, atunci în mod implicit va avea două licențe și doi utilizatori se vor putea conecta la el în același timp, al treilea va trebui să dea afară pe cineva pentru a muncă. În versiunile client de Windows, există o singură licență, dar aceasta poate fi ocolită și despre asta am vorbit în articolul Terminal Server pe Windows 7. De asemenea, în modul de administrare la distanță, puteți echilibra în cluster și încărcarea, datorită tehnologiei NLB și serverului de conexiune Session Directory Service. Este folosit pentru indexarea sesiunilor utilizatorilor, datorită acestui server utilizatorul se poate conecta la desktop-ul de la distanță al serverelor terminale într-un mediu distribuit. De asemenea, componentele necesare sunt un server de licențiere.

Protocolul RDP operează printr-o conexiune TCP și este un protocol de aplicație. Când un client stabilește o conexiune cu serverul, se creează o sesiune RDP la nivel de transport, unde se negociază metodele de criptare și transmitere a datelor. Când toate negocierile sunt determinate și inițializarea este completă, serverul terminal trimite ieșire grafică către client și așteaptă intrarea de la tastatură și mouse.

Remote Desktop Protocol acceptă mai multe canale virtuale într-o singură conexiune, permițându-vă să utilizați funcționalități suplimentare

Transferați imprimanta sau portul COM pe server
Redirecționați unitățile locale către server
Clipboard
Audio și video

Etape de conectare RDP

Stabilirea unei conexiuni
Negocierea parametrilor de criptare
Autentificare server
Negocierea parametrilor sesiunii RDP
Autentificarea clientului
Datele sesiunii RDP
Încheierea sesiunii RDP

Securitate în protocolul RDP

Remote Desktop Protocol are două metode de autentificare Standard RDP Security și Enhanced RDP Security, pe ambele le vom analiza mai detaliat mai jos.

Securitate RDP standard

Protocolul RDP cu această metodă de autentificare criptează conexiunea folosind protocolul RDP însuși, care se află în el, folosind această metodă:

Când sistemul dvs. de operare pornește, este generată o pereche de chei RSA
Certificatul de proprietate este în curs de creare
După care certificatul de proprietate este semnat cu cheia RSA creată anterior
Acum clientul RDP care se conectează la serverul terminal va primi un certificat de proprietate
Clientul se uită la el și îl verifică, apoi primește cheia publică a serverului, care este utilizată în etapa de acord asupra parametrilor de criptare.

Dacă luăm în considerare algoritmul cu care totul este criptat, acesta este cifrul de flux RC4. Chei de diferite lungimi de la 40 la 168 de biți, totul depinde de ediția sistemului de operare Windows, de exemplu în Windows 2008 Server - 168 de biți. Odată ce serverul și clientul au decis lungimea cheii, sunt generate două noi chei diferite pentru a cripta datele.

Dacă întrebați despre integritatea datelor, atunci aceasta se realizează prin algoritmul MAC (Message Authentication Code) bazat pe SHA1 și MD5

Securitate RDP îmbunătățită

Protocolul RDP cu această metodă de autentificare utilizează două module de securitate externe:

CredSSP
TLS 1.0

TLS este acceptat de versiunea 6 a RDP. Când utilizați TLS, un certificat de criptare poate fi creat folosind un server terminal, un certificat autosemnat sau selectat dintr-un magazin.

Când utilizați protocolul CredSSP, este o simbioză a tehnologiilor Kerberos, NTLM și TLS. Cu acest protocol, verificarea în sine, care verifică permisiunea de a intra în serverul terminal, se efectuează în prealabil și nu după o conexiune RDP completă și, prin urmare, economisiți resurse pe serverul terminal, plus există o criptare mai fiabilă și puteți conectați-vă o dată (Single Sign On ), datorită NTLM și Kerberos. CredSSP funcționează numai în sistemele de operare nu mai mici decât Vista și Windows Server 2008. Iată această casetă de selectare în proprietățile sistemului

Permiteți conexiuni numai de la computere care rulează Desktop la distanță cu autentificare la nivel de rețea.

Schimbați portul rdp

Pentru a schimba portul rdp, veți avea nevoie de:

Deschideți editorul de registry (Start -> Run -> regedit.exe)
Să trecem la următoarea secțiune:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Găsiți cheia PortNumber și modificați valoarea acesteia la numărul de port de care aveți nevoie.

Asigurați-vă că selectați o valoare zecimală, de exemplu, voi pune portul 12345.

După ce ați făcut acest lucru, reporniți Serviciul Desktop la distanță prin linia de comandă folosind următoarele comenzi:

Și creăm o nouă regulă de intrare pentru noul port rdp. Permiteți-mi să vă reamintesc că portul rdp implicit este 3389.

Alegem care va fi regula pentru port

Lăsăm protocolul ca TCP și specificăm un nou număr de port RDP.

Regula va fi să permiteți conexiunea RDP pe un port non-standard

Dacă este necesar, setați profilurile de rețea necesare.

Ei bine, să numim regula într-o limbă pe care o înțelegem.

Pentru a vă conecta de la computerele client Windows, scrieți adresa care indică portul. De exemplu, dacă ați schimbat portul la 12345 și adresa serverului (sau pur și simplu computerul la care vă conectați): myserver, atunci conexiunea MSTSC va arăta astfel:
mstsc -v:myserver:12345

01. Firewall Ei bine, totul este clar aici. Regula principală este „interzice totul”. Windows 2008 R2 are un firewall destul de bun încorporat, așa că este un loc bun pentru a începe. Lăsați porturile 80 și 443 (și poate 3389 pentru RDP) deschise și gata.

02. Configurarea GPO. Accesați „Start - Run - secpol.msc - Setări de securitate - Politici de cont - Politică de blocare a contului”. Și setați, de exemplu, „5 încercări” și „5 minute” - acest lucru va bloca utilizatorul timp de 5 minute după 5 autorizații nereușite.

Accesați caseta de selectare „Start - Run -gpupdate.msc - PC Configuration - Windows Configuration - Security Settings - Local Policies - Security Settings: Local Security Settings” pentru a utiliza numai RC4_HMAC_MD5.

03. Instalați un manager de parole. O mulțime de prieteni ai mei (într-adevăr, o grămadă) folosesc schema „o parolă complexă pentru tot”. Chiar și programatori familiari, admini, designeri... În general, nu sunt oameni proști. Mai gandeste-te. Chiar și pentru conturile de serviciu (cum ar fi utilizatorii bazei de date etc.), utilizați numai parole complexe generate. Și păstrați-le în managerul de permise. Personal, folosesc LastPass - este gratuit, cool și disponibil ca extensie Chrome.

04.Schimbați portul pentru RDP Portul serviciului terminal (același „Remote Desktop”) se modifică în registru aici: „HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp\PortNumber” (nu uitați să deschideți acest port pe firewall și reporniți serviciul RDP).

Selectați o regulă bazată pe port.

Indicăm numărul portului pe care l-am specificat (în exemplul TCP 50000).

Apoi specificăm acțiunea pentru regula noastră - Permite conexiunea. Aici, dacă este necesar, puteți activa criptarea conexiunii noastre.

În funcție de locul în care se află serverul - într-un grup de lucru, într-un domeniu sau în acces public, indicăm profilul de rețea pentru care se aplică regula.

Numim regula creată astfel încât să fie ușor de identificat și faceți clic pe butonul „Finish”.

Ce este protocolul RDP

Port rdp implicit

Voi scrie imediat portul rdp implicit 3389, cred că toți administratorii de sistem îl știu.

Cum funcționează protocolul rdp

Modul de administrare la distanță > pentru administrare, te duci la serverul de la distanță și îl configurezi și îl administrezi
Modul Terminal Server > pentru a accesa serverul de aplicații, aplicația de la distanță sau pentru a le partaja pentru serviciu.

Remote Desktop Protocol acceptă mai multe canale virtuale într-o singură conexiune, permițându-vă să utilizați funcționalități suplimentare

Transferați imprimanta sau portul COM pe server
Redirecționați unitățile locale către server
Clipboard
Audio și video

Etape de conectare RDP

Stabilirea unei conexiuni
Negocierea parametrilor de criptare
Autentificare server
Negocierea parametrilor sesiunii RDP
Autentificarea clientului
Datele sesiunii RDP
Încheierea sesiunii RDP

Securitate în protocolul RDP

Remote Desktop Protocol are două metode de autentificare Standard RDP Security și Enhanced RDP Security, pe ambele le vom analiza mai detaliat mai jos.

Securitate RDP standard

Protocolul RDP cu această metodă de autentificare criptează conexiunea folosind protocolul RDP însuși, care se află în el, folosind această metodă:

Când sistemul dvs. de operare pornește, este generată o pereche de chei RSA
Certificatul de proprietate este în curs de creare
După care certificatul de proprietate este semnat cu cheia RSA creată anterior
Acum clientul RDP care se conectează la serverul terminal va primi un certificat de proprietate
Clientul se uită la el și îl verifică, apoi primește cheia publică a serverului, care este utilizată în etapa de acord asupra parametrilor de criptare.

Dacă întrebați despre integritatea datelor, atunci aceasta se realizează prin algoritmul MAC (Message Authentication Code) bazat pe SHA1 și MD5

Securitate RDP îmbunătățită

Protocolul RDP cu această metodă de autentificare utilizează două module de securitate externe:

CredSSP
TLS 1.0

TLS este acceptat de versiunea 6 a RDP. Când utilizați TLS, un certificat de criptare poate fi creat folosind un server terminal, un certificat autosemnat sau selectat dintr-un magazin.

Permiteți conexiuni numai de la computere care rulează Desktop la distanță cu autentificare la nivel de rețea.

Schimbați portul rdp

Pentru a schimba portul rdp, veți avea nevoie de:

Deschideți editorul de registry (Start -> Run -> regedit.exe)
Să trecem la următoarea secțiune:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Găsiți cheia PortNumber și modificați valoarea acesteia la numărul de port de care aveți nevoie.

Asigurați-vă că selectați o valoare zecimală, de exemplu, voi pune portul 12345.

După ce ați făcut acest lucru, reporniți Serviciul Desktop la distanță prin linia de comandă folosind următoarele comenzi:

Și creăm o nouă regulă de intrare pentru noul port rdp. Permiteți-mi să vă reamintesc că portul rdp implicit este 3389.

Alegem care va fi regula pentru port

Lăsăm protocolul ca TCP și specificăm un nou număr de port RDP.

Regula va fi să permiteți conexiunea RDP pe un port non-standard

Dacă este necesar, setați profilurile de rețea necesare.

Ei bine, să numim regula într-o limbă pe care o înțelegem.

Salutări, dragi cititori, și Denis Trișkin este din nou în legătură.

Recent, am dat peste o astfel de întrebare precum „Remote Desktop” (RDP Windows 7). Acest instrument vă permite să lucrați cu computerul folosind un alt dispozitiv. De exemplu, un utilizator poate folosi echipamentul de acasă pentru a îndeplini toate funcțiile necesare pe un PC situat la birou. De acord, în unele situații această opțiune este convenabilă. Dar, în același timp, totul trebuie depanat corect mai întâi.

Pentru a activa rdp, trebuie să efectuați mai mulți pași:

Stabilirea unei conexiuni( )

Pentru a stabili o conexiune prin rdp, mai întâi trebuie să cunoașteți adresa IP a acesteia. Pentru a face acest lucru, pe dispozitivul dorit, accesați linia de comandă (deschideți „” și introduceți „ cmd»).

În fereastra care apare, indicați „”. Se va deschide o listă în care trebuie să găsiți linia cu parametrul IPv4. Numerele indicate vizavi sunt datele de care avem nevoie.

După aceasta, pe computerul de la care intenționăm să ne conectăm, lansați clientul rdp sau „”. Pentru a face acest lucru, trebuie să mergeți la " start" și apoi mergeți la " Standard».

crește

Se va deschide o fereastră în care puteți seta adresa echipamentului (IPv4). Apoi apasa "".

Dacă totul este specificat conform așteptărilor, va apărea un meniu în care trebuie să introduceți datele de conectare și parola pentru a stabili o conexiune.

Înainte de aceasta, există o alegere" Parametrii", unde sunt furnizate diverse setări rdp:

Actualizați( )

Este important să înțelegeți că atunci când lucrați constant cu acest instrument, aveți nevoie de el pentru a-și îndeplini toate funcțiile 100%. În caz contrar, este posibil ca utilizatorii să nu-și atingă obiectivele.

Pentru o funcționare corectă, toate setările trebuie specificate corect. Dar în unele cazuri acest lucru nu este suficient. De asemenea, merită să instalați la timp toate actualizările rdp viitoare de la Microsoft. Acest lucru se poate face nu numai în centrul corespunzător furnizat în sistemul de operare în sine, ci și pe pagina oficială a dezvoltatorului.

Schimbarea portului RDP( )

Pentru o conexiune standard la un computer la distanță, este utilizat portul 3389. În acest caz, interacțiunea are loc prin protocolul TCP. Prin urmare, este folosit fără udp.

Pentru a crește securitatea conexiunii, este posibil să schimbați portul RDP. Modificarea valorii va reduce riscul intruziunii în sistem în cazul ghicirii automate a parolei.

Pentru această procedură trebuie să utilizați editorul de registry:

Nici o conexiune( )

Uneori, utilizatorii pot întâlni o situație în care rdp nu funcționează. Este important de menționat că, judecând după statistici, utilizatorul reușește totuși să ajungă la server, dar unele instrumente de rețea nu îi permit mai departe. Există mai multe modalități eficiente de a rezolva această problemă.

Destul de des, mulți utilizatori care folosesc sesiuni de acces la distanță au o întrebare despre cum să schimbe portul RDP. Acum să ne uităm la cele mai simple soluții și să indicăm, de asemenea, câteva etape principale ale procesului de configurare.

Pentru ce este protocolul RDP?

În primul rând, câteva cuvinte despre RDP. Dacă te uiți la decodarea abrevierilor, poți înțelege acel acces la distanță

În termeni simpli, acesta este un instrument pentru un server terminal sau o stație de lucru. Setările Windows (și orice versiune a sistemului) folosesc setări implicite care se potrivesc majorității utilizatorilor. Cu toate acestea, uneori este nevoie să le schimbați.

Port RDP standard: ar trebui schimbat?

Deci, indiferent de modificarea Windows, toate protocoalele au o semnificație prestabilită. Acesta este portul RDP 3389, care este folosit pentru a efectua o sesiune de comunicare (conectarea unui terminal la cele de la distanță).

Care este motivul pentru situația în care valoarea standard trebuie schimbată? În primul rând, doar cu asigurarea securității computerului local. La urma urmei, dacă te uiți la el, cu un port standard instalat, în principiu, orice atacator poate pătrunde cu ușurință în sistem. Deci acum să vedem cum să schimbăm portul RDP implicit.

Modificarea setărilor din registrul de sistem

Să remarcăm imediat că procedura de modificare se efectuează exclusiv în modul manual, iar clientul de acces la distanță în sine nu prevede nicio resetare sau instalare de noi parametri.

Mai întâi, apelați editorul de registry standard cu comanda regedit din meniul Run (Win + R). Aici ne interesează ramura HKLM, în care trebuie să coborâm arborele de partiții prin directorul serverului terminal în directorul RDP-Tcp. În fereastra din dreapta găsim cheia PortNumber. Este sensul său pe care trebuie să îl schimbăm.

Intrăm în editare și vedem acolo 00000D3D. Mulți oameni sunt imediat perplexi cu privire la ceea ce este. Și aceasta este doar o reprezentare hexazecimală a numărului zecimal 3389. Pentru a indica portul în formă zecimală, folosim linia corespunzătoare pentru a afișa reprezentarea valorii și apoi specificăm parametrul de care avem nevoie.

După aceasta, repornim sistemul și când încercăm să ne conectăm, specificăm un nou port RDP. O altă modalitate de conectare este să utilizați comanda specială mstsc /v:ip_address:XXXXX, unde XXXXX este noul număr de port. Dar asta nu este tot.

Reguli Windows Firewall

Din păcate, paravanul de protecție Windows încorporat poate bloca noul port. Aceasta înseamnă că trebuie să faceți modificări la setările paravanului de protecție în sine.

Apelați setările paravanului de protecție cu setări avansate de securitate. Aici ar trebui mai întâi să selectați conexiunile primite și să faceți clic pe linie pentru a crea o nouă regulă. Acum selectăm elementul pentru a crea o regulă pentru port, apoi introducem valoarea acestuia pentru TCP, apoi permitem conexiunea, lăsăm secțiunea de profiluri neschimbată și în final atribuim un nume noii reguli, după care facem clic pe butonul de configurare completă. Tot ce rămâne este să reporniți serverul și, atunci când vă conectați, să specificați noul port RDP prin două puncte în linia corespunzătoare. În teorie, nu ar trebui să existe probleme.

Redirecționarea portului RDP de pe router

În unele cazuri, atunci când utilizați o conexiune fără fir mai degrabă decât o conexiune prin cablu, poate fi necesar să redirecționați portul de pe router. Nu este nimic complicat în asta.

În primul rând, în proprietățile sistemului, permitem și indicăm utilizatorii care au dreptul să facă acest lucru. Apoi accesați meniul de setări al routerului prin browser (192.168.1.1 sau la sfârșitul 0.1 - totul depinde de modelul de router). În câmp (dacă adresa noastră principală este 1.1), este indicat să indicați adresa, începând cu a treia (1.3), și să scrieți regula de emitere a adresei pentru a doua (1.2).

Apoi, în conexiunile de rețea, folosim vizualizarea detaliilor, unde ar trebui să vizualizați detaliile, să copiați adresa MAC fizică de acolo și să o lipiți în parametrii routerului.

Acum, în secțiunea de setări NAT de pe modem, activați conexiunea la server, adăugați o regulă și specificați portul XXXXX, care trebuie redirecționat către portul RDP standard 3389. Salvați modificările și reporniți routerul (noul port va nu poate fi acceptat fără repornire). Puteți verifica conexiunea pe un site web specializat, cum ar fi ping.eu, în secțiunea de testare porturi. După cum puteți vedea, totul este simplu.

În cele din urmă, rețineți că valorile portului sunt distribuite după cum urmează:

0 - 1023 - porturi pentru programe de sistem de nivel scăzut;
1024 - 49151 - porturi alocate în scop privat;
49152 - 65535 - porturi private dinamice.

În general, mulți utilizatori selectează de obicei porturile RDP din a treia gamă a listei pentru a evita problemele. Cu toate acestea, atât specialiștii, cât și experții recomandă utilizarea acestor valori în setări, deoarece sunt potrivite pentru majoritatea sarcinilor.

În ceea ce privește această procedură specială, este utilizată în principal numai în cazurile de conexiune Wi-Fi. După cum puteți vedea deja, cu o conexiune normală prin cablu nu este necesară: doar schimbați valorile cheilor de registry și adăugați reguli pentru portul în firewall.