remote desktop - varnost

Ni veliko možnosti sicer pa previdnost ni odveč. Router je zelo fajn stvar v takem primeru.

A kdo ve če se da izklopit to spodnje okno pri povezovanju:


Nekoč tega spodnjega okna sploh ni bilo... nevem al se je začelo pojavljat po posodobitvah ali v drugačni verziji Windowsev (sicer sta bili obe verziji XP SP2 pro corporate).

blackclw> "Ni veliko možnosti sicer pa previdnost ni odveč. Router je zelo fajn stvar v takem primeru."

In kaj točno spremeni router v tem primeru? Default port 3389 je ITAK odprt. Kdor ima 5 minut časa oz. ima port scanner, te lahko najde na internetu. Potem je pa zadeva stvar exploitov oz. kakega brute forca.

Proti zero day exploitu itak nimaš kaj, drugače pa seveda updataš sistem. Pametno je seveda spremeniti default port na nekaj drugega.

Proti brute forcu se pa da precej naredit z Lokalnim varnostnim pravilnikom oz. pravilnikom skupine (Security policy oz. secpol.msc ter Group policy oz. gpedit.msc). V slednjem najdeš Lokalni varnostni pravilnik v Computer configuration > Windows Settings > Security settings.

Znotraj tega nastavi pravilnike v vozlu Accoutn policy > Account Lockout Policy:
- Account Lockout threshold > npr. 5 poskusov
- Account Lockout duration > npr. 30 min
- Reset account lockout counter after > npr. 30 min

Poleg tega lahko nastaviš še beleženje logon/logoff dogodkov in sicer v vozlišču Local Policies > Audit Policy:
- Audit account logon events > Success, Failure
- Audit logon events > Success, Failure

Konkretno te nastavitve pomenijo, da se ti bo možnost prijave zaklenila po 5 neuspelih poskusih in bo lockout trajal 30 minut. Na ta način precej zmanjšaš možnosti za brute force. Uspešne in neuspešne poskuse prijave pa boš lahko spremljal v Event Viewerju (Computer management).

Dodatno lahko v Pravilniku skupine nastaviš v vozlišču Account policy > password policy še pravila za gesla.

imagodei : ne pretiravej.
Če bi vedu kaj router je, potem tega nebi govoril.
Če si za routerjem maš komot lahko remote vklopljen in ne bo nobenega rizika.
Če imaš kak wireless pa zna biz zadeva že bolj občutljiva.

lp,

Odzunaj se da lepo dostopat do RDP brez odprtega porta na routerju in je dosti bolj varno.
Zadeva se imenuje VPN.

@blackclw,
Mal sva se narobe razumela in poleg tega sem jaz malo narobe bral post od karafeke (resnici na ljubo je tudi spisan bolj tako-tako).
Port na routerju seveda ni vnaprej skonfiguriran. Moj point je bil, da če dostopaš na lokalno mašino od *zunaj*, moraš imeti skonfiguriran port na routerju, po defaultu je to 3389.

V osnovi je pa problem tegale (sedaj, ko sem bolje prebral karafekin post), da človek sploh nima LAN-a, ker ne uporablja routerja, ampak switch. Če bi RDC uporabljal izključno v LAN okolju z običajno konfiguriranim routerjem, se z varnostjo glede RDC-ja sploh nima kaj ukvarjat. Ker pa *nima* LAN-a in ker je njegov IP javen, je njegov problem v osnovi čisto drugje.

@AndrejS:
VPN bi bil IMHO kar malo overkill tukaj, kaj praviš? Je treba kar malo konfigurirat. Glede na to, da itak nima routerja...

@karafeka:
kaj pa TeamViewer?

@matter:
Zate zgolj tri črke: "z", "e", "h". Skratka, zeh.

Zajebal sem že pri vprašanju, ja.
Prej sem imel siol in pppoe (in LAN), sedaj pa t-2 in dhcp in jaz (idiot) sem mislil, da gre LAN preko switcha (huba), kljub temu da imajo zunanje ip-je.

Imagodei in ostali, hvala za nasvete. Ne vem zakaj microsoft ne omogoči lažjo sprememba porta za rd, kot pa skozi register.