Настройка удаленного доступа #1 Аппаратный проброс портов

[@systeamadmin]

Спасибо за ПОДПИСКУ и КОЛОКОЛЬЧИКИ! ⚡ Регистрируйся на следующий вебинар по системному администрированию 👉 sys-team-admin.ru/vebinar-po-sistemnomu-administrirovaniyu.html Следи за новостями через ВК: vk.com/app5898182_-34272024#s=239171&force=1

[@hurtZing]

Спасибо большое за информацию!

[@WhiteBear141981]

Спасибо!

[@6989toni]

NJRAT в помощь!!!)))))))

[@pliz2158]

Спасибо, про VPN хотелось бы очень подробно и проблемы по настройке.

[@systeamadmin]

Думаю, что ооочень подробно не получится. Просто поднятие роли, подключение к серверу, подключение к компьютеру через RDP.

[@МаксСоловьев-щ1ь]

По ищите, на Ютубе есть много видео на тему впн

[@РусланАлексеев-у7ъ]

Большое спасибо! Расскажите нам, пожалуйста, в одном из выпусков о безопасности протокола RDP и о настройке шифрования при удаленной работе.

[@systeamadmin]

Не планировал этого, но запишу на заметку, как потенциально интересная тема для видеоурока.

[@НикитаБлеснов]

Сколько же на канале "альтернативно гениальных" персонажей тусуется! :D :D :D Это просто топ!!!! :)))))))) Romgenas 6 месяцев назад 11:55 А где IP бухгалтера пробрасывается?

[@marilexultra]

У меня только два вопроса, у кого должен быть статистический ip адрес и у кого нужно в роутерах пробрасывать порты?

[@Garikuss]

А какой роутер порекомендуете как основной на фирму в 200-250 юсеров?

[@systeamadmin]

Даже не знаю. У нас на 100 машин длинк был какой-то не дишманский. Но он же будет стоять между интернетом и локалкой. А далее коммутаторы.

[@alexander199740]

@@systeamadmin или самому настроить на базе Linux

[@ponomarvikvik9242]

привет. есть разные проги типа анидеск, они на серых ip соединяют компы. А как можно подключиться удалено у моему интернету из другой страны? Задача - подключаться через домашний интернет. спасибо

[@seka1309]

Как сделаь это на микротик? L2tp ipsec vpn

[@АлександрРевенко-и9з]

Подскажите как увидеть общую папку из одной сети в другой. Между сетями интернет) . Малой кровью. Только папку. Что бы ссылка на неë была или ещë как.. Очень надо. Айпи у той сети в которой папка не постоянный, меняется.

[@ВасилийРозверныдуб]

А если роутер подключен не напрямую к сети провайдера, а через оптоволоконный терминал (модем), то статический (белый) айпи будет у терминала или у роутера и на каком сетевом устройстве делать проброс портов. И к терминалу из локалки роутера не удастся подключиться, а надо будет подключаться непосредственно к терминалу по витой паре? Спасибо.

[@роман123-32]

вы не показали , как включить удаленный доступ к рабочему месту ( в винде ) на конечном пк - или он включён автоматически при запросе удалённое соединение ? И как вызвать окно для в вода Ip и порта ?, я понимаю что задаю детский вопросы, Но этот ролик будут смотреть те люди которые этого не знают ! Но всё же спасибо за ваш труд )!

[@paulsunych]

Для win 10 Мой компьютер (Или этот компьютер) - правой кнопкой свойства - дополнительные параметры системы - удаленный доступ - галка разрешить удаленные подключения к этому компьютеру. Окно для ввода ip и порта это нажать пуск или поиск - и начать писать подключение к удаленному рабочему столу (это и есть протоко rdp), можно сохранять много машин на рабочий стол с определенными настройками.

[@pavelnagopetyan1504]

Судя по названию ролика - в котором после двоеточия описывается конкретизация темы (какой аспект рассматривается в видео ) эти вопросы логично остаются за кадром и если каждый узкий ролик начинать от модели построения IP и истории создания Windows то никто его до узкой специализации не досмотрит будет как в стихе С.Я.Маршака "Дом который построил Джек" - логично выстроить серию видео в некоем логическом порядке применения и в каждом коротком видео рассмотреть узкие аспекты ИМХО.

[@systeamadmin]

Совершенно верно!

[@systeamadmin]

Я не стал показывать уж совсем понятные основы, а просто указал их в технических требованиях. kzbin.info/www/bejne/sKXWZZmNh954d6M вот видео где показано как включить удаленный доступ в ХР. В 7 примерно тоже самое.

[@Romgenas]

11:55 А где IP бухгалтера пробрасывается?

[@ЗлойРак-м6л]

Здравствуйте, в ролике был задет такой вопрос о статических IP, и был поднят вопрос о службе DHCP. У меня почему-то в голове мелькнула мысль, что перед настройкой удалёнки её лучше вообще отрубить, хотя на памяти вертится, что там можно просто сделать правило для службы (если правильно выразился, нет, то поправте, пожалуйста), что она просто назначает новые IP новым устройствам в сети, а старые НЕ ТРОГАЕТ. Проясните этот вопрос, пожалуйста.

[@systeamadmin]

Ну, в данной ситуации лучше выполнить привязку MAC адреса к определенному IP. Тогда это будет типа статический адрес, так как DHCP его трогать не будет. Так же через DHCP настраивается, но я пока такой способ не применял.

[@pavelnagopetyan1504]

@@systeamadmin уточню - процедура называется "Резервирование IP адреса" выражается в создании инструкции DHCP серверу чтоб он конкретному MAC адресу сетевой карты выдавал один и тот-же IP адрес и в таком случае полученный машиной адрес будет не статическим а динамически получаемым но при этом сам адрес будет одним и тем-же на основании резервации прописанной на сервере DHCP По такой схеме работают провайдеры интернета чтоб внести в свои списки связку MAC и IP адрес устройства абонента - это своеобразная минимальная защита от стороннего подключения - MAC не совпал - адрес не выдадут или кто то из абонентов решит статически назначить себе адрес соседа а MAC просто так не узнать.

[@fr4nkoff]

Из всех вариантов удаленной работы, является ли данный способ достаточно безопасным?

[@pavelnagopetyan1504]

нет, он относится к базовым начальным действиям выполнив которые нужно переходить незамедлительно к обеспечению безопасности разными методами

[@systeamadmin]

Не самый безопасный вариант, но лучше чем просто интернет на прямую в сетевую карту.

[@systeamadmin]

@@pavelnagopetyan1504 Какими? Файервол и антивирус на локальной машине? Или ты про дальнейшую настройку роутера имеешь ввиду?

[@systeamadmin]

VPN будет куда безопаснее. Да и, как правило, сейчас все удаленные сотрудники в основном через VPN сидят.

[@pavelnagopetyan1504]

@@systeamadmin в идеале все вместе - на уровне роутера - создание списков доступа к пробросам портов (не все роутеры это умеют но есть те что умеют) создание механизма Port-Knocking'a для закрытия сделанных пробросов от сетевых сканеров и "пионеров" хаккеров Использование на программном уровне программ работающих по типу Fail2Ban для протоколов RDP (POP3,SMTP) Ясное дело что на конечной машине нужен фаервол с грамотной настройкой чтоб машина не была открыта всему трафику ну и АНТИВИРУС КОНЕЧНО - куда без него

[@ДмитрийЛогвиненко-щ2й]

А если в DHCP настроить резервирование адреса за машиной?

[@systeamadmin]

Тоже вариант.

[@Dnsmel]

Remote Desktop Gateway и не нужны манипуляции с портами...

[@TIGR8152]

давай VPN!

[@systeamadmin]

В пятницу.

[@TIGR8152]

@@systeamadmin печаль(( в пятницу уже у всех должно работать))

[@pavelnagopetyan1504]

@@TIGR8152 а чего мудрить - берешь "швейцарский нож" роутеров для домашнего, малого и среднего бизнеса (Mikrotik) - покупка 2 дня и к среде имеешь оборудование на базе которого можно много чего сотворить в том числе и VPN серверы и у тебя целый день чтоб поиграться и настроить VPN который будет работать :) Если упор на туннели и VPN то лучше брать свежие модели с аппаратной разгрузкой процессов шифрования ( отдельный модуль в процессоре который помогает шифровать и расшифровывать сильно не нагружая этим основной процессор) - за небольшие деньги на оборудование - гарантированный результат в большинстве случаев и вполне можно уложиться в отведенный лимит времени :)

[@systeamadmin]

Уже в субботу :-(

[@systeamadmin]

Воскресенье 🤣🤣🤣

[@АлександрКучумов-в7в]

Количество подключений по RDP ограниченно Windows. Можно использовать ЧекПоинт, но все равно на Циске нужно включать пользователей в группу.

[@systeamadmin]

Что значит ограничено Windows?

[@deogloria420]

@@systeamadmin он скорее всего о подключениях на одну машину, не более 2 по стандартной лицензии.

[@systeamadmin]

@@deogloria420 Да тут речь не про одновременную работу нескольких сотрудников на одном компе, а когда каждый на своем, как и в обычной рабочей обстановке :-) Ну, это к том, если он про это имел ввиду :-)

[@nicelykill]

Приветствую! Прошу подсказать, пожалуйста, что делать, раз вы тоже с этим сталкивались. Как сделать так, чтобы можно было подключаться к больше чем 2м компьютерам с одного устройства? Поможет ли Microsoft remote desktop?

[@nicelykill]

Ну или подскажите как это правильно загуглить, если нет времени объяснять

[@zerox1095]

А если компуктер бухгалтера выключился?)не проще ли терминальный сервер поднять? :D

[@ЮрийОбухов-о2г]

Не проще. Вопрос финансов и времени.

[@pavelnagopetyan1504]

Начиная с того , что не все программы можно фривольно переставить, некоторые не могут работать без оплаты серверных версий ключей, а они существенно по другому стоят и программы эти часто используются бухгалтерами и около этого.

[@systeamadmin]

@@ЮрийОбухов-о2г Во во, вопрос в производительности, а тут и финансы и время...

[@systeamadmin]

@@pavelnagopetyan1504 Точно, я как-то не подумал об этом...

[@3HATOK.]

На компе надо настроить режимы при подаче питания, в биосе. А также чтобы включался каждый день в такое то время.

[@mrkrog1906]

В принципе идея неплохая) Но возникает вопрос: нужно ли, для рабочих станций, покупать лицензии РДП? Для серваков на базе винды знаю, что 100% надо. И, получается, рабочие станции должны быть все время включены?

[@pavelnagopetyan1504]

карантин мероприятие не рядовое а значит допускает и не рядовые действия (я так дУмаю) Microsoft штука не постоянная поэтому на момент действия нужно читать что они допускают а чего запрещают - это ведь не ваш и не мой продукт он ИХ продукт данный нам попользоваться на их условиях . если навскидку то - домашние версии без бубна не содержат удаленного управления в штатном виде (оно есть но закрыто от пользователя) а на максимальных версиях и корп версиях важно чтоб устройство с которого ты будешь подключаться удаленно тоже было лицензировано для возможности удаленного подключения (безплатный линукс - нет, платная винда - да, а если линукс то доплата за каждое устройство с которого подключение без лицензии в виде какой доп. лицензии к основной машине - могу ошибаться но не очень сильно) ну на счет 100% времени тут на выбор - да 100% (вариант 1), включение по расписанию из биоса (вариант 2 ) , включение пакетом по проводной сети Wake UP он же Magic Packet (Вариант 3), 1 сотрудник с пальцем но в офисе (Вариант 4) - выбирай не хочу - но выбирай осторожно ... у каждого метода есть свои плюсы и МИНУСЫ в комплекте

[@КогдаОнЭтоОнещеНеЭто]

Не хватает у меня мозгов не получается неделю смотрю уже разные видео и нифига а в локалной сети без проблем

[@BlackCat_71]

Интересное видео, но зачем так сложно и небезопасно ? По-любому в организации все выходят в сеть через какой-либо роутер. Большинство роутеров могут выступать в роли VPN сервера. Зачем открывать RDP "на улицу", если намного безопаснее сделать VPN соединение до роутера. А дальше куда угодно ходи из дома в локалку организации. И отпадает надобность в белом IP адресе на стороне клиента.

[@systeamadmin]

А на стороне клиента не должно быть белого IP адреса. Он должен быть на стороне сети, к которой мы хотим подключиться. Вот с настройкой VPN сервера на роутере не сталкивался. Надо бы изучить данную тему 😉

[@BlackCat_71]

@@systeamadmin точно, ошибся. На клиенте пофиг какой IP. Главное чтоб порт был правильный. Хотя если у клиента был постоянный белый IP, было бы безопаснее - можно только с этого адреса прописать возможность подключения. А про VPN сервер на роутере: точно это могут Keenetic и Microtik (с чем я сталкивался), да и софтовый Ideco, о котором вы рассказываете во второй части, тоже это умеет.

[@pavelnagopetyan1504]

@@BlackCat_71 Предлагаю пойти с начала чтоб отмести разночтения 1. Клиентом в этом случае будет комп сотрудника у него дома за его клиентским роутером (на нем не обязателен белый и не обязателен постоянный IP адрес) 2. Роутер в офисе/датацентре - у него Должен быть обязательно БЕЛЫЙ и не обязательно ПОСТОЯННЫЙ IP адрес т.к. при помощи DynDNS сервисов можно отследить изменение IP адреса если он меняется но он должен быть РЕАЛЬНЫМ IP - это важно 3. Компьютер во внутренней сети предприятия к которому получают доступ извне через проброс портов В общем случае - адрес компьютера во внутренней сети меняться не должен хотя и можно придумать что есть роутеры способные в перенаправлении использовать не статическую запись IP а символьную запись указывающую на имя компьютера в сети Поэтому у внутреннего компьютера на который есть перенаправление ЖЕЛАТЕЛЬНО но не обязательно обеспечить постоянство адреса либо путем выдачи одного и того-же адреса при помощи DHCP сервера либо назначением статического IP адреса

[@BlackCat_71]

@@pavelnagopetyan1504 1. Согласен, сразу тупанул. 2. Ну лучше когда он белый постоянный, дабы не городить огород с DynDNS и т.п. 150-200 р/мес не большие деньги для компании. 3. Лучше когда комп во внутренней сети имеет постоянный IP. Вопрос в другом. Зачем ему НЕ постоянный IP. От нежелания админа один раз по-нормальному прописать постоянные адреса компьютерам в DHCP ? Имхо такого лодыря гнать в шею.

[@pavelnagopetyan1504]

@@BlackCat_71 по пунктам 2,3 полностью поддерживаю

[@DemoriaN]

а почему если порты пробрасывать на сервере, то это программно? Сервер же железный *ука, как и "роутер"... бггггг... какие идиоты работают в компаниях, если эти бедолаги не могут удаленку настроить. Кстати, по поводу rdp, тут проблема поддержкой... как раз по этому rdp не катит)

[@3HATOK.]

В чем проблема? Галочку поставь и сможешь смотреть что делает пользователь или управлять. Или ты о чём?

[@pavelnagopetyan1504]

все программно - даже в аппаратных устройствах которые заточены под одну задачу и тупо и без вариантов ее выполняют - тоже программно просто эти программы зашиты в программируемую микросхему и выполняются на другом уровне но все равно строго говоря и там тоже программы По поводу какие работают - разные работают и не все успели научиться и не все родились со знанием сетевых, аппаратных и программных особенностей - некоторые их изучают в процессе работы и по мере поступления рабочих задач- не самый плохой вариант (не лучший но и не самый плохой) так что про бедолаг это вы зря ... На тему RDP не катит и т.д. - очень многое зависит от радиуса кривизны рук и наполненности знаниями и опытом серенького содержимого справа и слева от точки середины отрезка соединяющего оба уха исполнителя.

[@systeamadmin]

Программно имеется ввиду, что через установку софта, а аппаратно, что на встроенном ПО сетевого устройства! И не надо сравнивать всех с собой, если у тебя богатый опыт, то молодец, так далеко не у всех, кто-то только начинает этот путь ;-) Какая проблема с поддержкой? Если хочешь увидеть, что происходит у него на компе, то подрубаешься так же через TeamViewer или подобные. К терминальному сеансу вообще можно подключиться с сервера и видеть что происходит у пользователя.

[@systeamadmin]

Павел, блин, надо было просто написать что согласен с твоим комментарием, чем писать практически тоже самое :-) Надо сразу все ответы смотреть к комментарию :-)