Удалённый доступ к офисным компьютерам: RDP, VPN или программы
Практика3 минРедакция Innovialabs
Коротко
Для постоянной работы сотрудников надёжнее всего RDP поверх VPN или через RDP-шлюз с 2FA, для разовой поддержки подходят программы удалённого доступа, а открытый в интернет порт RDP недопустим.
Короткий ответ
Есть три рабочих способа дать сотруднику доступ к офисному компьютеру из дома:
- RDP через VPN — сотрудник сначала подключается к офисной сети по VPN, затем к своему компьютеру по RDP.
- RDP-шлюз (Remote Desktop Gateway) — RDP-трафик упаковывается в HTTPS и проходит через отдельный сервер с проверкой доступа.
- Программы удалённого рабочего стола — подключение через облачный сервис производителя, без настройки сети.
И один недопустимый: пробросить порт RDP на роутере и подключаться к компьютеру напрямую из интернета.
Почему RDP нельзя открывать в интернет
Открытый порт RDP быстро находят автоматические сканеры. Дальше начинается:
- Подбор паролей круглосуточно — слабый или повторно использованный пароль рано или поздно подберут.
- Атаки на уязвимости самого протокола: в прошлом в RDP находили уязвимости, позволявшие атаку без пароля. Неустановленное обновление превращается в открытую дверь.
- Точка входа для шифровальщиков: получив доступ к одному компьютеру, злоумышленник движется дальше по офисной сети.
Смена порта со стандартного на другой не решает проблему — сканеры проверяют все порты.
Сравнение вариантов
| Критерий | RDP через VPN | RDP-шлюз | Программы удалённого доступа |
|---|---|---|---|
| Безопасность | Высокая: RDP не виден снаружи | Высокая при 2FA и обновлениях | Зависит от производителя и настроек аккаунтов |
| Скорость и качество | Хорошие, зависят от канала офиса | Хорошие | Обычно хорошие, зависят от серверов сервиса |
| Сложность настройки | Средняя: VPN-сервер и клиенты | Выше: сервер, сертификат, политики | Низкая |
| Стоимость | В основном время на настройку | Лицензии и сервер | Подписка, часто за пользователя или устройство |
| Для чего | Постоянная работа сотрудников | Много пользователей, централизованный контроль | Поддержка, разовые подключения, небольшие команды |
RDP через VPN
Самый распространённый вариант для небольшого офиса. VPN-сервер стоит на роутере или отдельной машине, у каждого сотрудника свой ключ или учётная запись.
Что важно:
- компьютеры, к которым подключаются, должны иметь редакцию Windows с поддержкой входящих RDP-подключений (Pro и выше, не Home);
- включите NLA (проверку подлинности на уровне сети);
- разрешите RDP в файрволе только из подсети VPN;
- компьютер должен быть включён — настройте отключение спящего режима или Wake-on-LAN.
RDP-шлюз
Шлюз полезен, когда пользователей много и нужен единый контроль: кто, когда и к какому компьютеру подключался. Снаружи открыт только HTTPS-порт шлюза, а сам RDP остаётся внутри сети. Шлюз можно связать с двухфакторной аутентификацией.
Минусы — нужна инфраструктура Windows Server, сертификат и регулярное обновление самого шлюза, который становится точкой, видимой из интернета.
Программы удалённого рабочего стола
Сервисы вроде TeamViewer, AnyDesk, RustDesk и аналогов подключаются через облако производителя, поэтому не требуют белого IP и проброса портов. Это удобно для поддержки и небольших команд.
Правила безопасности:
- включите 2FA на аккаунтах;
- отключите неконтролируемый доступ там, где он не нужен, или защитите его отдельным сложным паролем;
- ограничьте список разрешённых аккаунтов или устройств;
- следите за лицензионными условиями: бесплатные версии часто разрешены только для личного использования.
Учтите и мошенничество: злоумышленники звонят от имени «техподдержки» и просят установить такую программу. Сотрудники должны знать, кто в компании может просить об удалённом подключении.
Как выбрать
- Несколько сотрудников, постоянная работа — RDP через VPN.
- Десятки пользователей, требования к аудиту — RDP-шлюз с 2FA.
- ИТ-поддержка и разовые подключения — программа удалённого доступа.
- Нужен доступ только к файлам и почте — возможно, удалённый рабочий стол не нужен вовсе: достаточно облачных сервисов.