28.10.2021-22:43:25 :: Remember, remember, the velvet November


node:	28.10.2021-22:43:25
template:	4
parent:	pocitace - troubleshooting ci co
owner:	stamina
viewed by:
created:	28.10.2021 - 22:43:25

cwbe coordinatez:
101
63540
63709
8918207

ABSOLUT
KYBERIA

permissions
you:	r,
system:	public
net:	yes

Ako moc riskantne je otvorenie portu 3389 na RDP na windows serveri? bez firewallu. ak sa nic ine neda, pomoze RD Gateway? jednalo by sa ale o ten isty server, na ktory sa pripaja cez rdp

0000010100063540000637090891820708919041

nasiel som este toto, ale neviem ci tomu rozumiem
https://www.riptidehosting.com/blog/how-to-install-vpn-server-on-windows-server-2019/

najprv sa vytvori vpn tunel medzi klientom a tym serverom, potom sa moze RDP na ten isty server?
dolezite je, ze sa TURN OFF RDP ACCESS (PORT 3389) ON PUBLIC PROFILE

000001010006354000063709089182070891904108919174

ta windows vpnka je kotina, x veci si nastavujes na x miestach
mne sa osvedcuje toto:
https://www.softether.org
vo finale sa nastavuje jednoduchsie, ucty mozes mat naparovne s AD, mozes pouzit buil-in vpn klienta vo windowsoch alebo si to nastavit na routri a urobit si tunel lan to cloud.

0000010100063540000637090891820708918898

VPN. ale aj to riskantne lebo ked ti ovladnu to VPN spojenie, tak sa ti dostanu do LAN, lebo ten server mas v LAN.

idealne by bolo premiestnit ho do inej zony za FW.

0000010100063540000637090891820708918511

mozes to vypublikovat cez RDS gateway ale tiez to poriadne osekaj , certifikaty a podobne.
aky je dovod ?

000001010006354000063709089182070891851108919476

nemas nahodou niekde bookmarknuty postup na ten gateway?

lebo v jednom staci pridat rd gateway, v dalsom i session host a broker, kazdy tutorial na to sa lisi, jebne ma :)

000001010006354000063709089182070891851108918562

momentalne je fyzicky server v lokalnej sieti, kde je nainstalovana pohoda a ine veci, vsetci maju pohoda folder namapovanu ako sietovu jednotku. ten fyz server sa bude vypinat a migrovat do VM (vodafone cloud), cize tam sa budu prihlasovat cez RDP. Nebude to idealne riesenie, kedze to vm je zaroven aj DC (je to vobec treba, nestacia lokalne ucty? ide len o 8 uzivatelov)

proste namiesto kliknutia na ikonku pohoda na svojich pocitacoch (ktora odkazuje na zdielany pohoda adresar) pojdu cez vzialenu plochu na to VMko a pohodu spustia tam

0000010100063540000637090891820708918226

Akykolvek windowsovy protokol, tlacovy, zdielanie suborov, exchange, a obzvlast RDP je smrtelne nebezpecne vystrcit von do Internetu.

RDP malo bug a pocitac bol okamzite ownovany, takisto sa skusaju hesla, bezheslove pristuypy (credential stuffing).

Ako sa pise nizsie tunelovat.

E:Alebo pouzit soft na dialkovu spravu PC od ineho vyrobcu napr teamviewer ale najprv si pozri aky je ten soft bezpecny stava sa vselico.

000001010006354000063709089182070891822608918873

RDP som disabloval, jelikoz event viewer bol plny audit failure logov, co sa dalo predpokladat

teamviewer by bol ok, ale na tom kompe, resp. v tych programoch pracuje viac ludi naraz, tj. by sa bili o kurzor :))

00000101000635400006370908918207089182260891887308918882

Teamviewer som uviedol ako priklad. Mozno daco najdes. Len si pozri security okolo toho, odporucane nastavenia a aku ma soft povest. Ja by som ten stroj rozbil na backend a potrebny pocet pracovnych pc v cloude ano licencie rozumiem. Ale staci jedna elevacia a mas pi databaze.

0000010100063540000637090891820708918217

dost riskantne. 3389 by som do Internetu urcite neotvaral. idealne to zabalit do nejakeho VPN tunelu. tj pripojis sa na VPN tunel a nasledne mozes RDP

000001010006354000063709089182070891821708918305

diky obom. ide o ws2019 VM, ktory je zaroven aj DC pre 8 uzivatelov a tiez tam bezi sql server koli uctovaciemu sw Pohoda :)
doteraz im to bezalo na fyzickom serveri v lokalnej sieti, ale tento sa migruje na to VM a budu sa tam pripajat cez rdp. myslel som, ci by to slo zabezpecit pridanim rg gateway role na ws, ty padom

klient -> 443 -> rd gateway -> 3389 -> cielovy server

ALE, rd gateway a cielovy server su ten isty server :)

vpn alebo teamviewer urcite dava najviac zmysel