Milyen portokat használ az RDP?

A Távoli Asztali Protokoll (RDP) az egyik legelterjedtebb módja a Windows szerverek és asztalok távoli elérésének. Be van építve a Windowsba, széles körben támogatják harmadik féltől származó kliensek, és gyakran használják adminisztrációra, támogatásra és távoli munkára.

De amikor távoli hozzáférést tesz közzé a felhasználók (vagy ügyfelek) számára, egy kérdés gyorsan kritikus fontosságúvá válik a kapcsolódás és a biztonság szempontjából: mely portokat használ az RDP? Ebben a cikkben részletezzük az alapértelmezett portokat, az "extra" portokat, amelyek a beállításától függően megjelenhetnek, és mit tegyen, ha távoli hozzáférést szeretne anélkül, hogy a 3389-es portot ki lenne téve.

Alapértelmezett RDP port

Alapértelmezés szerint, RDP TCP 3389-es portot használ.

Ez a Windows standard hallgatóportja a Remote Desktop kapcsolatokhoz, és ez az a port, amelyet a legtöbb tűzfal és NAT szabály továbbít, amikor valaki "megnyitja az RDP-t az internetre." A Microsoft a 3389-et is regisztrálja RDP-vel kapcsolatos szolgáltatásokhoz (ms-wbt-server) mind TCP, mind UDP esetén.

Az RDP mindig a 3389-es porton van?

A legtöbb esetben igen, de nem mindig. A 3389 az alapértelmezett, ami azt jelenti, hogy egy standard Windows telepítés, amelyen a Távoli asztal engedélyezve van, ott fog figyelni, hacsak egy adminisztrátor nem változtatja meg. A valós környezetekben gyakran látni fogja, hogy az RDP-t egy másik portra helyezik a zaj csökkentése érdekében az automatizált vizsgálatok ellen.

Láthatja az RDP forgalmat is. megjelenik más portokat használni, amikor az proxizva vagy alagútba van helyezve (például egy RD Gateway, VPN vagy egy távoli hozzáférési portálon keresztül).

A lényeg: a felhasználói esetleg „RDP-t használnak” anélkül, hogy közvetlenül a 3389-hez csatlakoznának, attól függően, hogy hogyan van közzétéve a távoli hozzáférés.

Miért használ az RDP TCP-t és UDP-t is?

Az RDP történelmileg a TCP-re támaszkodott a megbízható kézbesítés érdekében, de a modern RDP UDP-t is használhat (tipikusan ugyanazon a portszámon, 3389) a válaszkészség javítása érdekében. Az UDP segít olyan helyzetekben, ahol a késleltetés minimalizálása fontos—az egérmozgások, gépelés, videó és audio simábbnak tűnhet, mert az UDP elkerüli a TCP által bevezetett többletterheket, amikor csomagok elvesznek vagy újraküldésre van szükség.

A gyakorlatban sok beállítás TCP-t használ alapként, és UDP-t a teljesítmény növelésére, amikor a hálózat lehetővé teszi. Ha az UDP blokkolva van, az RDP általában továbbra is működik—csak csökkentett teljesítménnyel vagy "lassabb" érzettel a gyenge hálózati körülmények között.

UDP és Kiegészítő Port Viselkedés

A mellett, hogy TCP 3389 Az RDP használata is magában foglalhatja:

UDP 3389 – Az RDP által használt a válaszidő javítására és a késleltetés csökkentésére (amikor az UDP szállítás engedélyezve van és megengedett).
TCP 443 – Használva, amikor a Remote Desktop Gateway-en (RDP HTTPS-be ágyazva) keresztül csatlakozik.
UDP 3391 – Általában az "RDP over UDP" RD Gateway-en keresztüli használatra (teljesítményút a kapun keresztül).
TCP 135 / 139 / 445 – Megjelenhet bizonyos környezetekben a kapcsolódó Windows szolgáltatások és átirányítási forgatókönyvek (pl. RPC/SMB-függő funkciók) számára.

Ha az RDP környezete tűzfal mögött helyezkedik el, NAT , vagy biztonsági átjáró, gyakran szükséges érvényesíteni, hogy melyik RDP útvonalat használják valójában (közvetlen 3389 vs. átjáró 443/3391) és biztosítani, hogy a politikák megfeleljenek.

Gyors tűzfal ellenőrzőlista RDP portokhoz

A próbálkozások és hibák elkerülése érdekében erősítse meg, hogy engedélyezte a TCP 3389 (és az UDP 3389-et, ha a legjobb teljesítményt szeretné) portot. Ha RD Gateway-t használ, győződjön meg arról, hogy a TCP 443 (és opcionálisan az UDP 3391) nyitva van a gateway-en, nem feltétlenül a cél szerveren.

RDP-t használó vállalatok biztonsági aggályai

A biztonsági szempontból a TCP 3389 internetre való kiadása magas kockázatú lépés. Erősen átvizsgálják, gyakran brute force támadásoknak van kitéve , és gyakran célpontja a zsarolóvírus kampányoknak.

Miért fontos ez a valós telepítésekben:

Egyetlen nyitott RDP végpont folyamatos jelszó-kiértékelési céllá válhat.
Az RDP biztonsága nagymértékben függ a megerősítéstől (MFA, fiók zárolás, javítás, VPN/kapu használat, IP-korlátozások).
„Csak nyisd meg a 3389-et” gyakran folyamatos tűzfal- és végpontkarbantartássá alakul.
Ahogy a környezetek növekednek, a következetes ellenőrzések érvényesítése a szerverek között nehézzé válik.

Sok szervezet számára a cél az lesz: távoli hozzáférést biztosítani anélkül, hogy a 3389-es portot nyitva hagynák.

Gyakorlati megerősítési lépések, ha RDP-t kell használnod

Ha nem tudja elkerülni az RDP-t, csökkentse a kitettséget az MFA megkövetelésével, az NLA engedélyezésével, a szigorú zárolási politikák érvényesítésével, a VPN vagy IP engedélyezésével történő hozzáférés korlátozásával, és biztosítsa, hogy a rendszerek teljesen frissítve legyenek. Amikor lehetséges, helyezze az RDP-t egy RD Gateway mögé (443), ahelyett, hogy közvetlenül a 3389-et tenné ki.

Biztonságosabb alternatíva: TSplus Remote Access

Ha távoli hozzáférést szeretne, miközben a 3389-es portot zárva tartja a nyilvános internet előtt, TSplus Távhozzáférés praktikus megoldást kínál: alkalmazások és asztalok közzététele egy webportálon keresztül, szabványos webportok használatával.

Miért lehet a TSplus a jobb választás:

Nem igényli a 3389-es port internetre való megnyitását (a webes hozzáféréshez támaszkodhat a 80/443-ra).
Böngészőalapú hozzáférés az HTML5 Web Portálon keresztül, csökkentve az ügyféloldali bonyolultságot
Könnyebben érvényesítheti a HTTPS-t és a standard biztonsági gyakorlatokat egy ismerős webfelületen.
Jól működik alkalmazások közzétételére (RemoteApp-stílus) és teljes asztalok esetén is.
Kiegészítőkkel, például Kétfaktoros Hitelesítéssel és további védelmekkel megerősíthető.

A távoli felhasználók megbízható kiszolgálására szükség van csapatok számára, ez segít csökkenteni a támadási felületet, miközben egyszerűsíti a telepítést és felhasználói bevezetés .

Végső gondolatok

A TCP 3389 az alapértelmezett RDP port - és az RDP UDP 3389-et is használhat, valamint 443/3391-et, ha átjáró érintett, együtt más Windows hálózati portokkal specifikus forgatókönyvekben. Ha a távoli hozzáférés üzleti szempontból kritikus, fontolja meg, hogy valóban szeretné-e nyitva hagyni a 3389-et.

Sok szervezet áttér arra a megközelítésre, ahol a felhasználók HTTPS (443) protokollon keresztül csatlakoznak egy biztonságos portálhoz, és a belső RDP réteg privát marad.

Ha biztonságosabb módot keres a távoli hozzáférés biztosítására, TSplus Távhozzáférés segíthet alkalmazások és asztali számítógépek weben történő közzétételében, miközben az infrastruktúráját egyszerűbbé és biztonságosabbá teszi.