Технология удаленного рабочего стола. Протоколы, безопасность, настройка

Рассмотрим подробнее наиболее популярные программы удаленного управления.

2.1 REMOTE ADMINISTRATOR (RADMIN)

Radmin – программа для удаленного администрирования компьютеров, работающих под управлением Windows. Используя Radmin, вы можете с помощью обычного графического интерфейса одновременно и полноценно администрировать несколько удаленных компьютеров.  Radmin поддерживает операционные системы семейства Windows 9x/NT/2k/XP/2k3/Vista и является платным программным продуктом.  Radmin предлагает пользователю следующий набор функций:

1. Передача файлов на удаленный ПК.
2. Получение вида удаленного рабочего стола.
3. Поддержка нескольких одновременных соединений.
4. Telnet-сервер.
5. Поддержка текстового и голосового чата ( начиная с версии Radmin 3)
6. Двусторонняя работа с буфером обмена с поддержкой Unicode.
7. Удалённое выключение компьютера

Безопасность:

1. Интеграция с системой безопасности Windows. Radmin полностью поддерживает NTLMv2, Active Directory, Kerberos.
2. Безопасная передача трафика. Все передаваемые данные шифруются по стандарту AES.
3. Собственная система безопасности. Radmin позволяет создавать собственные учетные записи, наделяя их определенными правами.
4. Фильтрация IP-адресов клиентов. Для повышения безопасности можно давать разрешение для подключения к серверу клиентов только с определенных хостов.
5. Ведение логов. В лог попадает имя подключившегося пользователя и его IP-адрес.
6. Защита от угадывания пароля. Radmin позволяет пресечь подбор пароля, устанавливая блокировки после нескольких попыток неправильного ввода.

Умеренные требования к ресурсам системы, высокая безопасность и широкие  возможности делают Radmin отличным инструментом для использования в корпоративной среде.

2.2 DAMEWARE NT UTILITIES

Компания DameWare Development разрабатывает  средства удаленного доступа для  осуществления удаленного управления и администрирования в сетях Windows NT/2000/XP/2003/2008. DameWare NT Utilities(DNTU) - пакет утилит для администрирования, объединенный централизованным интерфейсом для удаленного управления серверами и рабочими станциями Windows. Продукт распространяется по платной лицензии.

Ключевые возможности:

1. Мощный браузер объектов ActiveDirectory. С помощью данной функции  можно легко и быстро управлять  такими объектами AD как Organizational Units, Контейнеры, Пользователи, Группы, Контакты, Компьютеры, Общие ресурсы и т.д.
2. Большое количество встроенных утилит для управления различными ресурсами удаленного ПК: Службы, Диски, Процессы, Реестр, Принтеры и т.д.
3. Telnet-сервер.
4. Встроенные TCP-утилиты: ping, traceroute, mx test и другие.
5. Удаленный вид рабочего стола.

Безопасность:

1. Шифрование трафика на основе Crypto API.
2. Возможность аутентификации по смарт-карте.
3. Поддержка системы безопасности серверных версий Windows, интеграция с ActiveDirectory.
4. Собственная система безопасности.
5. Ограничение подключения по IP-адресам.
6. Ведение лога подключений в файл или в Application Event Log

DameWare NT Utilities возможностей для администрирования предоставляет гораздо больше, чем Radmin, но относительно безопасности ему проигрывает. DNTU лучше использовать внутри локальной сети, а для администрирования удаленных офисов стоит использовать VPN.

2.3 TIGHT VNC

Tight VNC – кроссплатформенная свободная программа, реализация VNC с расширениями для оптимизации работы в условиях медленных каналов передачи данных. Позволяет обращаться дистанционно к рабочему столу другого компьютера через клиентскую программу или браузер, используя встроенный веб-сервер.

При использовании Tight VNC для подключения к удаленному рабочему столу через Интернет существует угроза безопасности.  Несмотря на то, TightVNC шифрует пароли, весь остальной трафик передается как есть, в незашифрованном виде. Для шифрования паролей, VNC использует алгоритм DES, где пароль ограничен 8 символами, а длина ключа составляет 56 бит. В таких условиях разработчики рекомендуют устанавливать соединение с SSH тунелированием, когда вы работаете вне доверенной сети.

Возможности:

1. Удаленный вид рабочего стола.
2. Пересылка файлов.

В случаях, когда приходится администрировать серверы под управлением Windows и Linux одновременно, удобнее всего использовать TightVNC.

2.4 REALVNC

RealVNC – это кросплатформенная платная программа, реализующая протокол VNC. Утилита не ограничивает выбор инструментов для администрирования. Подключиться к серверу RealVNC, установленному под Windows, можно при помощи клиента VNC, работающего в любой поддерживаемой ОС.

RealVNC предоставляет администратору  удаленный доступ к своему  компьютеру или компьютеру конечного  пользователя из любого места  с использованием любой операционной системы. В отличие от некоторых других инструментов для работы с VNC, это решение поставляется в комплекте с серверным и клиентским компонентами, позволяя установить все необходимое программное обеспечение в одном пакете. RealVNC дает возможность осуществлять удаленное администрирование без использования сторонних приложений. А корпоративная версия также позволяет обмениваться с конечным пользователем мгновенными сообщениями, не отвлекаясь на разговоры по телефону при оказании технической поддержки.

Продукт предлагает большой  набор функций, которые могут  различаться в зависимости от версии. 
 
• Поддержка широкого круга операционных систем. 
• Аутентификация на сервере по технологии RSA с использование 2048-битного ключа. 
• Шифрование данных по стандарту AES с использованием 128-битного ключа. 
• Поддержка печати. 
• HTTP- и VNC-подключение к одному порту. 
• Поддержка прокси для HTTP. 
• Отдельный канал для технической поддержки. 
• Возможность обмена файлами. 
• Поддержка адресной книги. 
• Встроенный чат. 
• Возможность масштабирования экрана. 
• Поддержка аутентификации с использованием нативных средств выбранной платформы. 
• Инструменты для развертывания в комплекте (только для Windows).

Главный недостаток RealVNC —  сложность в освоении. Утилита  не предусматривает использования стандартных средств удаленного доступа. В состав RealVNC входят серверный и клиентский компоненты, причем для успешного подключения к удаленному компьютеру серверная часть на нем должна быть запущена и настроена. Это задача не для среднестатистического пользователя, поэтому администратору желательно подготовить компьютер самостоятельно, иначе потом придется в удаленном режиме объяснять пользователю, как запустить и настроить сервер.

2.5 AMMYY ADMIN

Ammyy Admin — система удалённого доступа и администрирования, разработанная компанией Ammyy Group, полностью совместимая с VNC, Terminal Server и прочими программами удалённого доступа. Особенностью Ammyy Admin является работа с программой без необходимости ее установки. Кроме того Ammyy Admin работает через NAT и не требует внешних IP- адресов, установки дополнительного ПО и настройки переадресации портов. Приложение прозрачно для всех известных сетевых экранов (Firewall). Работает через HTTPs Proxy. Отметим основные черты приложения:

• Не требуется установка программы.
• Не требуется перенастройки сетевых экранов и Firewall.
• Опция только для просмотра.
• Совместима с существующими программами удалённого доступа: VNC, Terminal Server и другими.
• Поддержка Microsoft Remote Desktop Protocol (RDP).
• Может работать как системный сервис (удаленное администрирование серверов).
• Позволяет осуществлять удаленную перезагрузку, вход в систему, выход, смену пользователей.
• Аудио чат.
• Файловый менеджер (обмен файлами и папками).
• Автоматическая и ручная настройка скорости работы (качество изображения/быстродействие).

Безопасность:

• Все данные зашифрованы  с помощью гибридного алгоритма  шифрования по стандартам AES-256 + RSA, используются различные ключи для каждой сессии.
• Не открываются порты на локальном и удалённом компьютере.
• Защита от атак на перебор паролей.
• Аутентификация прав на основе ID аппаратного обеспечения и/или по паролю.

На практике рядовому пользователю для нужд уделенного доступа, как правило, достаточно какой  – то одной программы, подходящей ему по функциональности и безопасности. Сетевые администраторы используют целый пакет утилит. К примеру,  DameWare NT Utilities – для детальной настройки удаленной машины, находящейся в доверенном сегменте сети, RADMIN – для наблюдения за удаленной машиной, инструктажа пользователя, доступа к удаленному столу через сеть Интернет.                   

 

3 НАСТРРОЙКА УДАЛЕННОГО РАБОЧЕГО СТОЛА

Современные программы удаленного управления для настройки подключения к удаленному столу требуют минимального вмешательства пользователя. Все что он должен сделать в большинстве случаев сводится к указанию уровня безопасности, IP адреса сервера к которому необходимо подключиться, либо его DNS имени и желаемых параметров отбражения удаленного экрана. Все далнейшие действия по подключению к удаленной машине программа производит сама.

Рассмотрим процесс подключения на примере стандартной программы Windows – Remote Desktop версии 7.0. Для того чтобы осуществить подключение необходимо:

1. На машине к которой будет происходить подключение должно быть разрешено удаленное подключение. Пуск – Мой компьютер – Свойства – вкладка Удаленный доступ. Необходимо выбрать один из двух вариантов: «Разрешить  подключение от компьютеров с любой версией удаленного стола »   или  

«Разрешить  подключение только от компьютеров с проверкой подлинности на уровне сети» , первый вариант менее безопасный, но предподчтительнее, когда версия программы клиента не известна (Рис.7 - 8). После настройки сервера к нему можно подключиться удаленно.

2. Для подключения к настроенному серверу необходимо запустить RDC (Remote Desktop Connection). Ярлык на данную утилиту можно найти по следующему пути:

Пуск – Все программы – Стандартные – Подключение к удаленному рабочему столу (Рис.9 ). В запущенной утилите, если нажать кнопку “Параметры” диалоговое окно развернется в несколько вкладок. Все вкладки служат для настройки параметров сессии. На вкладке Общие необходимо ввести IP адресс или DNS имя сервера и указать имя пользователя, под которым вы хотите осуществить вход в систему. Помимо этого на других вкладках можно настроить параметры отображения удаленного экрана на локальной машине, определить порядок использования локальных ресурсов: звука, клавиатуры и подключаемых устройств, указать программы, которые должны запускаться при старте системы, определить параметры быстродействия и защиты.

3. После  настройки соединения и нажатия кнопки Подключить, если при подключении не возникло ошибок появится окно авторизации пользователя удаленной системы, в противном случае появится окно, содержащее описание ошибки. При успешной авторизации пользователя появится окно с удаленным рабочим столом (Рис.10 - 12 ).

 

Рис.7  Окно свойств системы.

Рис.8 Вкладка Удаленный доступ.

Рис.9 Окно настройки удаленного подключения.

Рис.10 Окно авторизации пользователя на удаленной машине.

Рис.11 Окно с рабочим столом удаленной машины.

Рис.12 Окно с описание ошибки подключения.

Подключение при помощи встроенных RDP средств Windows – самый простой вариант для среднестатистического пользователя, желающего получить доступ к удаленному экрану. Но это решение имеет ряд известных недостатков, частью которых является недостаток функциональности и недостаточный уровень безопасности. Эти недостатки можно обойти используя программные продукты других разработчиков. Одним из лучших на сегодняшний день решений являются такие приложения как Radmin и Dameware NT Utilities. Рассмотрим процесс подключения к удаленному столу при помощи Radmin. Подключение к удаленному рабочему столу при помощи Radmin требует повторения той же последовательности действий, что и подключение при помощи RDC, но имеет отличия в интерфейсе. Кроме того для подключения к удаленному рабочему месту, нужно что бы там была установлена серверная часть приложения Radmin, а на локальном компьютере клиентская.  Ниже приведены скриншоты, отражающие этапы настройки подключения при помощи Radmin (Рис. 13 - 18).

Рис.13 Запуск утилиты управления настройками сервера на удаленном компьютере.

Рис.14 Окно управления настройками сервера.

Рис.15 Окно настройки прав доступа пользователя

При настройке  сервера есть возможность настроить  права доступа удаленного пользователя в системе, при этом можно использовать как существующую учетную записть. так и создать учетную запись Radmin и задать необходимые разрешения (Рис.15). При нажатии на кнопку Настройки откроется новое диалоговое окно, позволяющее задать ряд параметров сервера, в частности настройки видео и голосового чатов, отключения ряда функций, задания порта по умолчанию. В ветке  IP фильтр можно задать IP адреса имеющие право на подключение к серверу (Рис.16).