鉴于目前基于 RDP 攻击的勒索病毒泛滥，如何安全的访问内网的 windows

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 1200 天前的主题，其中的信息可能已经有所发展或是发生改变。

偶尔有需要访问内网 windows 的需求，虽然能直接开放 3389，但前几天也看到 V 友有 RDP 被攻击的帖子。

目前我的解决方案是即用即开，用完就关。但还是过于麻烦。
试过用 SSH 隧道，但发现 RDP 没办法配置代理。
还试过 OpenVPN，但不知道是不是被检测到干扰的原因，配置完之后的一段时间整个网络非常差。关掉之后一段时间网络又恢复正常了。

想问一下大家用的哪种隧道技术比较好？

第 1 条附言 · 2021-08-13 11:11:22 +08:00

通过尝试不同的 SSH 隧道端口转发方式，已经成功通过 SSH+私钥访问+端口转发访问到内网的 windows 机器了。

也感谢大家提供的第三方软件，我也会尝试研究一下并记录下来。

第 2 条附言 · 2021-08-13 16:15:10 +08:00

假设有 A B C 三台主机，A 、B 能互通，B 、C 能互通，A 、C 不通。

现在要 A 访问 C 的远程桌面

1 、修改一下 B 的 SSH 配置，vi /etc/ssh/sshd_config 将 GagewayPorts 配置为 yes 。并重启 SSHD 服务
2 、B 配置 SSH 访问，并映射一个端口到公网，让 A 能访问到。建议配置成 SSH 只允许通过密钥访问，降低用户被暴力破解的风险
3 、在 A 上（我的是 windows 系统）打开[putty]!( https://www.putty.org/)。先正常配置 SSH 连接的信息（用户、IP 地址、端口）。
4 、putty 左侧的选项中，切换到 Connection--SSH--Tunnels 。分别填写 Source port （本机随便写一个未占用的端口）和 Destination （要连接 C 主机的地址和端口），下面的类型选 Local 就可以了，然后点击 Add 添加到转发端口列表中。如果有多个需要转发的，可以添加多个
5 、从左边切换到最顶部的 Session 中，填写一个 Saved Sessions 名称，点击右边的 save 保存一下设置，方便下次调用。
6 、点击 Open 就会连接到 B 主机，连接成功之后，就可以通过 127.0.0.1+刚才配置的 Source port 来进行访问，例如我配置的是 8000 端口，对应的是 C 主机的 3389 。那就可以打开 A 主机的远程桌面连接输入 127.0.0.1:8000 进行连接了。

第四步的参考图

https://i.bmp.ovh/imgs/2021/08/b168828d835c9c56.png

rdp

隧道

Windows

OpenVPN

42 条回复 • 2021-08-15 14:06:03 +08:00

ysc3839

2021-08-13 09:53:16 +08:00 via Android

> 试过用 SSH 隧道，但发现 RDP 没办法配置代理。

直接用 ssh 的端口转发功能。

dier

2021-08-13 09:55:33 +08:00

@ysc3839 # 这个就跟在防火墙上的端口映射是一样的呀？也是直接暴露的是 RDP 协议。我还是希望以隧道的方式联通内网再方式，安全性更好一点

PerFectTime

2021-08-13 09:58:47 +08:00

wireguard 回家，配置局域网 ip 走 wg

dier

2021-08-13 10:04:32 +08:00

@PerFectTime 感谢，我去研究一下

fonlan

2021-08-13 10:26:03 +08:00

@dier SSH 端口转发怎么就和端口映射一样了？端口转发的时候还是走的 SSH 协议

ysc3839

2021-08-13 10:34:06 +08:00

@dier 不一样。

aitaii

2021-08-13 10:38:14 +08:00

ZeroTier

desdouble

2021-08-13 10:48:09 +08:00 via Android

用现成的商业产品。续断内网穿透稳定可靠，最重要的是有 rdp/ssh 爆破防护，专项保护 3389 。但比较起来，决明子异地组网这样的 sdwan 方案是最合适的，p2p 打洞成功的话网速很快，安全性又很高。适合自己用。

免费产品也很多，openvpn 不适合，楼上提到的 wireguard 值得一试。