aborche Apr 15 2013 at 11:12

Повышение безопасности сервера RemoteApp

4 min

21K

Information Security*

Comments 8

kocto4ka Apr 15 2013 at 15:39

А почему не использовать 2-х факторную аутентификацию? Там брутфорс исключается ведь. Нет?

UFO just landed and posted this here

aborche Apr 15 2013 at 17:33

Можно и vpn поднять, только вот чем сложнее схема на стороне пользователя, тем больше проблем.
Как-то тяжело объяснять про ipsec тётушкам и бабушкам бухгалтерам в Тюмени, Улан-Удэ и Томске находясь в Нерезиновске.

UFO just landed and posted this here

aborche Apr 15 2013 at 17:46

да можно и openvpn автобандл сделать, только вот к кому попадут твои ключи если вдруг что, а так да ipsec вореанд.

lambot Apr 15 2013 at 18:03

А что имеется в виду под «без наличия RD Gateway»? Для него не нужно никаких лицензий дополнительно и, если с серверами всё совсем плохо, его можно ставить даже на сам терминальный сервер. Зачем костыли?

aborche Apr 15 2013 at 18:27

затем что rd gateway тащит за собой кучу абсолютно ненужного барахла и в конечном итоге усложняет систему.
Я не осилил замысла Microsoft в этом направлении. С одной стороны всё правильно, но «чем дальше в лес, тем толще партизаны». Настроил, поигрался и вынес вперед тапками.

Microsoft вообще ребята неоднозначные. Одно только включение клиента WebDAV на 2008R2 через «Desktop Expirience» чего стоит. Но даже после включения клиента WebDAV оно без напильника не заводится. Или танцы с удалённой печатью, тут печатаем тут нет. Система и без того получается нагружена групповыми политиками, стартап скриптами и правилами AppLocker, и грузить её еще RD Gateway с сервером политик как-то некомильфо.

Dorlas Jun 19 2017 at 21:38

Есть еще один «необычный» вариант, как убрать порт TCP/3389 в связке с RemoteAPP, но в то же время не ломать работу всего сервиса:

Заставить терминальную службу сервера слушать, помимо TCP/3389, еще другой порт — например TCP/55111
В настройки коллекции в RemoteApp внести этот порт в дополнительные опции — тогда .rdp файлы, которые будет генерировать RemoteApp и отдавать клиенту, будут автоматом содержать нужный порт

Первое описано тут: how-to-add-multiple-rdc-listening-ports.

Второе делается на RemoteAPP сервере в PowerShell:

Set-RDSessionCollectionConfiguration –CollectionName QuickSessionCollection –CustomRdpProperty “serverport:i:55111”

И все будет хорошо — по крайней мере от ботов автоматизированных избавитесь.