🔖 🏴󠁧󠁢󠁷󠁬󠁳󠁿 🥩 ऑफिस में रिमोट का काम। RDP, पोर्ट नॉकिंग, मिकरोटिक: सरल और सुरक्षित 👳 🍦 👇🏽

कई देशों में कोविद -19 वायरस और सार्वभौमिक संगरोध की महामारी के संबंध में, काम जारी रखने के लिए कई कंपनियों में से एकमात्र तरीका इंटरनेट के माध्यम से नौकरियों तक दूरस्थ पहुंच है। दूरस्थ कार्य के लिए कई अपेक्षाकृत सुरक्षित तरीके हैं - लेकिन समस्या के पैमाने को देखते हुए, आपको किसी भी उपयोगकर्ता को कार्यालय से दूर से कनेक्ट करने और अतिरिक्त सेटिंग्स, स्पष्टीकरण, थकाऊ परामर्श और लंबे निर्देशों की आवश्यकता के बिना एक सरल विधि की आवश्यकता होती है। यह विधि कई प्रवेश RDP (दूरस्थ डेस्कटॉप प्रोटोकॉल) की पसंदीदा है। RDP के माध्यम से कार्यस्थल से सीधे जुड़ना आदर्श रूप से हमारी समस्या को हल करता है, मरहम में एक बड़ी मक्खी को छोड़कर - RDP पोर्ट को इंटरनेट के लिए खुला रखना बहुत असुरक्षित है। इसलिए, नीचे मैं सुरक्षा का एक सरल लेकिन विश्वसनीय तरीका प्रस्तावित करता हूं।

चूंकि मैं अक्सर छोटे संगठनों में आता हूं, जहां मिकरोटिक उपकरणों का उपयोग इंटरनेट एक्सेस के रूप में किया जाता है, यह नीचे दिखाया गया है कि इसे मिकरोटिक पर कैसे लागू किया जाए, लेकिन पोर्ट नॉकिंग सुरक्षा पद्धति अन्य उच्च श्रेणी के उपकरणों पर इनपुट राउटर के लिए समान सेटिंग्स के साथ आसानी से लागू होती है। फ़ायरवॉल

पोर्ट नॉकिंग के बारे में संक्षेप में । इंटरनेट से जुड़े नेटवर्क के लिए एक आदर्श बाहरी सुरक्षा तब है जब सभी संसाधनों और बंदरगाहों को एक फ़ायरवॉल द्वारा बाहरी रूप से बंद कर दिया जाता है। और यद्यपि इस तरह के एक कॉन्फ़िगर फ़ायरवॉल के साथ एक राउटर बाहर से आने वाले पैकेट के लिए किसी भी तरह से प्रतिक्रिया नहीं करता है, यह उनके लिए सुनता है। इसलिए, आप राउटर को कॉन्फ़िगर कर सकते हैं ताकि जब नेटवर्क पैकेटों का एक निश्चित (कोड) अनुक्रम विभिन्न बंदरगाहों पर प्राप्त हो, तो यह (राउटर) आईपी के लिए जहां से पैकेट कुछ संसाधनों (पोर्ट्स, प्रोटोकॉल, आदि) तक पहुंच से आता है।

अब बात है। मैं मिकरोटिक पर फ़ायरवॉल सेटिंग्स का विस्तृत विवरण नहीं करूंगा - इंटरनेट इसके लिए उच्च-गुणवत्ता वाले स्रोतों से भरा है। आदर्श रूप से, एक फ़ायरवॉल सभी आने वाले पैकेटों को अवरुद्ध करता है, लेकिन

/ip firewall filter
add action=accept chain=input comment="established and related accept" connection-state=established,related

स्थापित (संबंधित) कनेक्शन से आने वाले ट्रैफ़िक की अनुमति देता है।
अब मिकरोटिक पर पोर्ट नॉकिंग को कॉन्फ़िगर करें:

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
move [/ip firewall filter find comment=RemoteRules] 1
/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

अब और अधिक:

पहले दो नियम

/ip firewall filter
add action=drop chain=input dst-port=19000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules
add action=drop chain=input dst-port=16000 protocol=tcp src-address-list="Black_scanners" comment=RemoteRules

पोर्ट को स्कैन करते समय ब्लैकलिस्ट किए गए IP पतों से आने वाले पैकेटों को प्रतिबंधित करें;

तीसरा नियम:

add action=add-src-to-address-list address-list="remote_port_1" address-list-timeout=1m chain=input dst-port=19000 protocol=tcp comment=RemoteRules

वांछित पोर्ट (19000) पर सही पहली दस्तक देने वाले मेजबानों की सूची में आईपी जोड़ता है;
निम्नलिखित चार नियम:

add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=19001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=18999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=16001 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules
add action=add-src-to-address-list address-list="Black_scanners" address-list-timeout=60m chain=input dst-port=15999 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

उन लोगों के लिए ट्रैप पोर्ट बनाएं जो आपके पोर्ट को स्कैन करना चाहते हैं, और जब इस तरह के प्रयासों का पता चलता है, तो अपने आईपी को 60 मिनट के लिए काली सूची में डाल दें, जिसके दौरान पहले दो नियम इन मेजबान को सही पोर्ट पर दस्तक देने से रोकेंगे;

निम्नलिखित नियम:

add action=add-src-to-address-list address-list="allow_remote_users" address-list-timeout=1m chain=input dst-port=16000 protocol=tcp src-address-list="remote_port_1" comment=RemoteRules

1 मिनट के लिए अनुमत की सूची में आईपी डालता है (एक कनेक्शन स्थापित करने के लिए पर्याप्त), चूंकि दूसरा सही दस्तक वांछित बंदरगाह (16000) के लिए किया जाता है;

अगला आदेश:

move [/ip firewall filter find comment=RemoteRules] 1

हमारे नियमों को फ़ायरवॉल प्रसंस्करण श्रृंखला तक ले जाता है, क्योंकि सबसे अधिक संभावना है कि हमारे पास पहले से ही अलग-अलग निषेध नियम कॉन्फ़िगर होंगे जो हमारे नए बनाए गए लोगों को काम करने से रोकेंगे। मिकरोटिक में बहुत पहला नियम शून्य से शुरू होता है, लेकिन मेरे डिवाइस पर शून्य में अंतर्निहित नियम से कब्जा कर लिया गया था और इसे स्थानांतरित करना असंभव था - मैं 1 पर चला गया। इसलिए, हम हमारी सेटिंग्स को देखते हैं - जहां आप स्थानांतरित कर सकते हैं और वांछित संख्या निर्दिष्ट कर सकते हैं।

निम्नलिखित सेटिंग:

/ip firewall nat
add action=dst-nat chain=dstnat comment="remote_rdp_to_33" src-address-list="allow_remote_users" dst-port=33890 in-interface-list=WAN protocol=tcp to-addresses=192.168.1.33 to-ports=3389

एक नियमित रूप से RDP पोर्ट 3389 और कंप्यूटर या टर्मिनल सर्वर के आईपी की जरूरत है, जो कि नियमित रूप से चयनित पोर्ट 33890 है। हम सभी आवश्यक आंतरिक संसाधनों के लिए इस तरह के नियम बनाते हैं, अधिमानतः गैर-मानक (और अलग) बाहरी बंदरगाहों को उजागर करते हैं। स्वाभाविक रूप से, आंतरिक संसाधनों का आईपी या तो स्थिर होना चाहिए या डीएचसीपी सर्वर के लिए सुरक्षित होना चाहिए।

अब हमारा मिकरोटिक कॉन्फ़िगर किया गया है और हमें उपयोगकर्ता के लिए हमारे आंतरिक आरडीपी से जुड़ने के लिए एक सरल प्रक्रिया की आवश्यकता है। चूंकि हमारे पास मुख्य रूप से विंडोज उपयोगकर्ता हैं, हम एक साधारण बैट फाइल बनाते हैं और इसे StartRDP.bat कहते हैं:

1.htm
1.rdp

तदनुसार 1.htm में निम्नलिखित कोड हैं:

<img src="http://my_router.sn.mynetname.net:19000/1.jpg">
       RDP
<img src="http://my_router.sn.mynetname.net:16000/2.jpg">

इसमें काल्पनिक चित्रों के दो लिंक शामिल हैं जो कि my_router.sn.mynetname.net पते पर स्थित हैं - हम इस पते को अपने मिकरोटिक में पूर्व-सक्षम करके मिकरोटिक के डीडीएनएस सिस्टम से लेते हैं: आईपी पर जाएं - क्लाउड मेनू - डीडीएनएस सक्षम चेकबॉक्स पर क्लिक करें, लागू करें और क्लिक करें। हमारे राउटर के डीएनएस नाम को कॉपी करें। लेकिन यह केवल तभी आवश्यक है जब राउटर का बाहरी आईपी गतिशील हो या कई इंटरनेट प्रदाताओं के साथ एक कॉन्फ़िगरेशन का उपयोग किया जाता है।

पहली कड़ी में बंदरगाह: 19000 पहले बंदरगाह से मेल खाता है, जिस पर आपको दूसरे, क्रमशः, दूसरे में दस्तक देने की आवश्यकता है। लिंक के बीच एक छोटा निर्देश है जो दिखाता है कि क्या करना है अगर अचानक हमारा नेटवर्क छोटी नेटवर्क समस्याओं के कारण टूट जाता है - हम पृष्ठ को ताज़ा करते हैं, आरडीपी पोर्ट हमारे लिए 1 मिनट के लिए फिर से खुलता है और हमारा सत्र बहाल हो जाता है। इसके अलावा, img टैग के बीच का पाठ ब्राउज़र के लिए एक सूक्ष्म विलंब बनाता है, जो पहले पैकेज की दूसरी पोर्ट (16000) तक पहुंचाने की संभावना को कम करता है - अब तक दो सप्ताह के उपयोग (30 लोगों) में इस तरह के मामले नहीं आए हैं।

अगला वह 1.rdp फ़ाइल है, जिसे हम प्रत्येक उपयोगकर्ता के लिए एक या सभी के लिए अलग-अलग कॉन्फ़िगर कर सकते हैं (मैंने ऐसा किया था - उन लोगों से परामर्श करने के लिए कई घंटे की तुलना में 15 मिनट अतिरिक्त खर्च करना आसान है जो इसे समझ नहीं पाए)

screen mode id:i:2
use multimon:i:1
.....
connection type:i:6
networkautodetect:i:0
.....
disable wallpaper:i:1
.....
full address:s:my_router.sn.mynetname.net:33890
.....
username:s:myuserlogin
domain:s:mydomain

यहां दिलचस्प सेटिंग्स मल्टीमोन का उपयोग करती हैं: i: 1 - इसमें कई मॉनिटर का उपयोग शामिल है - कुछ को इसकी आवश्यकता है, लेकिन वे इसे स्वयं चालू करने के बारे में नहीं सोचेंगे।

कनेक्शन प्रकार: i: 6 और networkautodetect: i: 0 - चूंकि इंटरनेट का अधिकांश हिस्सा 10 एमबीपीएस से अधिक है, तो कनेक्शन प्रकार 6 (स्थानीय नेटवर्क 10 एमबीपीएस और अधिक) को चालू करें और नेटवर्कटोडोडेट को अक्षम करें, क्योंकि यदि यह डिफ़ॉल्ट रूप से (ऑटो) है, तो यह दुर्लभ भी है नेटवर्क विलंब स्वचालित रूप से स्थायी रूप से हमारे सत्र के लिए एक कम करके आंका जाता है, जो काम में ध्यान देने योग्य देरी पैदा कर सकता है, खासकर ग्राफिक कार्यक्रमों में।

अक्षम वॉलपेपर: i: 1 - डेस्कटॉप छवि
उपयोगकर्ता नाम निष्क्रिय करें : s: myuserlogin - उपयोगकर्ता नाम निर्दिष्ट करें, क्योंकि हमारे उपयोगकर्ताओं का एक महत्वपूर्ण हिस्सा उनके उपयोगकर्ता नाम को नहीं जानता है।
डोमेन: s: mydomain - डोमेन या कंप्यूटर का नाम निर्दिष्ट करें

लेकिन यदि हम कनेक्शन प्रक्रिया बनाने के कार्य को सरल बनाना चाहते हैं, तो हम PowerShell - StartRDP.ps1 का भी उपयोग कर सकते हैं

Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 19000
Test-NetConnection -ComputerName my_router.sn.mynetname.net -Port 16000
mstsc /v:my_router.sn.mynetname.net:33890

विंडोज में आरडीपी क्लाइंट के बारे में भी थोड़ा: एमएस प्रोटोकॉल और उसके सर्वर और क्लाइंट पक्ष को अनुकूलित करने के लिए एक लंबा रास्ता तय कर चुका है, कई उपयोगी सुविधाओं को लागू किया है - जैसे कि हार्डवेयर 3 डी के साथ काम करना, आपके मॉनिटर, मल्टी-स्क्रीन और अन्य के लिए स्क्रीन रिज़ॉल्यूशन का अनुकूलन करना। लेकिन निश्चित रूप से, सब कुछ पिछड़े संगतता मोड में लागू किया गया है और यदि क्लाइंट विंडोज 7 है और रिमोट पीसी विंडोज 10 है, तो आरडीपी प्रोटोकॉल संस्करण 7.0 का उपयोग करके काम करेगा। लेकिन लाभ यह है कि आप आरडीपी संस्करणों को अधिक हाल के संस्करणों में अपग्रेड कर सकते हैं - उदाहरण के लिए, आप 7.0 (विंडोज 7) से 8.1 तक प्रोटोकॉल संस्करण को अपग्रेड कर सकते हैं। इसलिए, ग्राहकों की सुविधा के लिए, सर्वर साइड के संस्करण को अधिकतम करना आवश्यक है, साथ ही साथ आरडीपी प्रोटोकॉल क्लाइंट के नए संस्करणों में अपग्रेड करने के लिए लिंक को फेंकना आवश्यक है।

नतीजतन, हमारे पास काम करने वाले पीसी या टर्मिनल सर्वर के लिए रिमोट कनेक्शन के लिए एक सरल और अपेक्षाकृत सुरक्षित तकनीक है। लेकिन अधिक सुरक्षित कनेक्शन के लिए, हमारी पोर्ट नॉकिंग विधि सत्यापन के लिए बंदरगाहों को जोड़कर, परिमाण के कई आदेशों से हमलों के लिए जटिल हो सकती है - आप 3,4,5,6 जोड़ सकते हैं ... एक ही तर्क और इस मामले में आपके नेटवर्क में एक सीधा घुसपैठ लगभग असंभव होगा ।

RDP को दूरस्थ कनेक्शन बनाने के लिए फ़ाइल रिक्त करें ।

ऑफिस में रिमोट का काम। RDP, पोर्ट नॉकिंग, मिकरोटिक: सरल और सुरक्षित

More articles: