Remote Desktop kívülről...

[Törölt_tag7592]

Sziasztok,

Hosszú ideje használtam remote desktop-ot DDNS (no-ip) szolgáltatással, hogy az itthoni gépemet bárhonnan elérjem, ez azonban pár hónapja hirtelen megszűnt működni. Most jutottam oda, hogy volt időm nekiülni és foglalkozni a problémával. Mivel szerintem minden stimmel, és itthoni hálózatról megy is az RDP, gyanakszom a szolgáltatóra... Optinet, Budapest, 11. kerület.

Amit ellenőriztem:

- A DDNS szolgáltató frissíti az IP címemet (de IP címmel is próbáltam csatlakozni, úgy se megy).

- Windows Firewall-ban a 3389-es port nyitva (kompletten kikapcsoltam, nem volt változás)

- A 3389-es port a routeren (W724V) forwardolva a kliens gép IP címére (TCP és UPD, azonos beállításokkal korábban hónapokig működött). Ezt online eszközökkel ellenőriztem:

mxtoolbox.com - 3389 remote desktop Open

www.t1shopper.com/ - 134.255.69.xxx is responding on port 3389 (ms-wbt-server).

- Próbáltam másik gépre forwardolni a portot, ott bekapcsolni az RDP-t, próbából kikapcsolni az NLA-t, a routeren bekapcsolni az uPnP-t, Windows-ban kikapcsolni az IPv6-ot, semmi. 

Mivel szerintem minden jól van beállítva, és mégse működik, ezért azon a ponton vagyok, hogy nincs több ötletem. Ha bárkinek van bármi, azt szívesen fogadom és nagyon szépen köszönöm

Üdv,

Csaba

[acel]

Ekkor: 2/12/2017 at 17:29, fgabor87 írta:

Azért az szerintem is úgy van, hogy a próbálkozások nagy százaléka csak bizonyos portokat szkennel le. Én egyszer csináltam egy scannelést a routeremre 1-től 65.534-ig, több percet vett igénybe.

A feltört, vírussal fertőzött eszközök általában egy bizonyos portra koncentrálnak, és ott bizonyos módszerekkel próbálnak meg bejutni. Az ilyen custom portokra tett dolgokhoz már élő ember kell, vagy valami mesterséges intelligenciával felvértezett cucc.

Mindenesetre ha eltolod, akkor a scannelések jóval kisebb százaléka fogja megtalálni, így csökkenthető a támadások száma. Illetve a pingre adott válasz tiltásával is kiszűrhető a próbálkozások egy kis százaléka.
Ha meg egy hacker ezek ellenére talál egy nyitott portot valahol 10.000 felett, akkor már megérdekli, hogy próbálkozzon. Úgysem fog neki sikerülni.

Más helyen nyitott portRa tényleg nem szkennelnek gyakran. Ennek ellenére van az egy jelszó védelem amit egy beengedett port tud általában, szembeN a kétlépcsős azonosítással, belépés jelzéssel amit a kliens alapúak tudnak. A kérdés az hogy a saját jelszavadban bizol vagy egy külső cég tudásában és megbízhatóságában.

 

[oldmumus]

Nekem a topicot olvasva az jutott eszembe, hogy a port forwarding a Cisco eszközön kevés volt az RDP-hez. A firewall szintet LOW-ra billentve indult be.

[Törölt_tag7592]

Hello,

Bocs, mostanában nem jártam erre A spontán javulást követően azóta is működik, azóta már a közben vásárolt NAS-hoz kapott DDNS szolgáltatással.

Értem én, hogy a portot eltolni 2 perc és megéri elméletben növelni vele a biztonságot, de nem igazán értem, mi történik, ha valaki azt látja, hogy az IP címemen nyitva van a 3389-es port, indít egy mstsc.exe-t és elkezdi bruteforce-olni a username-password párosításokat? Nem sok esélye van...  Persze gondolom azokra utaznak, akiknél az username admin, a password meg 1234...

[btz]

@Springdale üdv újra itt.

Igazából ennek a port eltolásnak az a legnagyobb haszna, hogy ha egy hálózaton üzemeltetetsz például 10-20 távoli asztalos gépet, nem kell külön portot adni nekik, üzemelhet mind a 3389-en, nem kell külön külön módosítgatni a konfigokat. Egy helyen, a routerben lehet szépen managelni, hogy melyik gép melyik porton jelentkezzen a "külvilág" felé, szerintem praktikusabb, átláthatóbb, könnyebben kezelhető.

Kifelé viszont nem jó ha a 3389-en megy az RDP, mert egy támadó esetleg könnyebben levághatja, hogy milyen szolgáltatásról van szó, ezzel akár a dolgát is nagy mértékben megkönnyíthetjük (Lásd: Német Telekomos speedport eset, a támadó ott is tisztában lehetett vele, hogy CPE eszköz management szolgáltatás fut a porton, tehát ha nem egy szolgáltatásnak dedikált porton futtatják a szolgáltatást, esetleg nem is mindegyik speedporton van ugyan az a port nyitva, lehet, hogy csak fele vagy negyegyed annyi speedport bénul meg). Szóval van ennek gyakorlati haszna

[root]

Az én véleményem pedig az, hogy nem használunk RDP-t soha, semmilyen körülmények között. Teamviewer már inkább, de ha valaki igazán jót akar, akkor vesz egy PI-t párezerért és feltol rá egy l2tp-t.

[acel]

29 perce, root írta:

Az én véleményem pedig az, hogy nem használunk RDP-t soha, semmilyen körülmények között. Teamviewer már inkább, de ha valaki igazán jót akar, akkor vesz egy PI-t párezerért és feltol rá egy l2tp-t.

Lustábbaknak pénzért a teamviewer és a logmein is ad vpn-t is.

Nem csak a brute-force támadásra használhaó egy nyitott port. Az  adott szolgáltatlás nem ismert hiányosságait is kihasználhatja (ld heartbleed)  vagy dos-ra is,

 

[root]

4 minutes ago, acel said:

Lustábbaknak pénzért a teamviewer és a logmein is ad vpn-t is.

 

 

Nah ez az, amiben sosem bíznék meg:))) Saját kézzel feltelepített l2tp ipsec-kel, saját beállításokkal. Nincs kiskapu benne:)

[oldmumus]

Uraim,

RDP is megoldható´csak valami magasabb porttal amit már nem találnak meg. Nekem jó módszer lett és 0 támadás.

[root]

4 hours ago, oldmumus said:

Uraim,

RDP is megoldható´csak valami magasabb porttal amit már nem találnak meg. Nekem jó módszer lett és 0 támadás.

Jujjj ez vicces volt. Nem találják meg. Ismered a nmap nevű picike kis softwert? Még azt is megmondja, hogy milyen service van a kitracet porton:DDDDD

[acel]

4 perce, root írta:

Jujjj ez vicces volt. Nem találják meg. Ismered a nmap nevű picike kis softwert? Még azt is megmondja, hogy milyen service van a kitracet porton:DDDDD

Megbeszétük már, nem találja meg csak ha keresi.  A Mirai és társai gyakorlati mérések ls port logok alapján jelenleg nem foglalkoznak ezeknek a törésével.  Még nincs annyi bot hogy minden portot és ipt szkenneljenek. 

[oldmumus]

4 órája, root írta:

Jujjj ez vicces volt. Nem találják meg. Ismered a nmap nevű picike kis softwert? Még azt is megmondja, hogy milyen service van a kitracet porton:DDDDD

Nem azt mondtam-írtam, hogy abszolút nem találja, találhatja meg. De Ha 3389xy adok meg akkor egy átlag nem fogja, mert olyan magas portokat nem fog már keresni.