小白是否不适合搞外网远程桌面？

[az22c]

想从公司，远程桌面到家里的 主力机（代号为 C 机），看看笔记啥的，一般不需要提交什么资料。

一般方案就是：控制端机 A，远程桌面到，家里 主力机 C。（家里还有一台 闲置机 B，看看能不能帮助提高安全性。）

---

如果实施远程桌面方案：

研究了一下站里，我做一个肤浅的解读：

• 基本上我把外网远程桌面和内网穿透视为是外网裸奔了，是并非绝对安全的
  • 一般认为套 vpn 或者用 ssh 是安全的。
  • 其他的向日葵、teamviewer 、rdp 、frp 有翻车中毒的案例。
  • tailscale ，zerotier 等虽说是 vpn ，但是不知道会不会未来翻车中毒。

所以，

• 所以想中间加一台 闲置机 B 做轻度的隔离，好像能挡挡常见勒索病毒。
  • (万一中勒索毒了，重装 机 B 没事)
  • 控制端机 A，远程桌面到 闲置机 B
  • 闲置机 B，再通过待定什么服务访问 主力机 C 里面的笔记、局域网图床、局域网网盘。

但是看到很多案例，病毒木马感染能打穿局域网。想试问 机 B 访问 机 C 的笔记和图床有什么安全的服务？ ==》就是一个局域网里面搞安全隔离的问题。

---

如果不实施远程桌面方案：

任意一台局域网内机器，将笔记部署为一个网页服务，只暴露这个端口和网页。外网的机器怎么访问这个内网网页，同时安全性比较高呢？

[hack]

@az22c multiOTP 够个人用的。改一改有案例可以在 windows 域环境使用。

[aukus]

说了这么多，都说 MS 不安全，有大佬科普下 RDP 被攻破的案例吗？

[sheayone]

我的经验，RDP 端口直接对公网开放，不管你改不改端口号码，都立马会引来一堆肉鸡来试密码，这个才是最大的安全风险；其次才是协议漏洞，这个需要勤打补丁。
增强 RDP 安全性的途径：
1. 增加一台 RDP Gateways ，相当于堡垒机；
2. 通过 over 其他安全通道，比如 VPN 或者 SSH Tunnel ，其中 SSH 仅允许密钥 /证书登录，安全性也可以得到提升。
互联网没有绝对的安全的说法，都是道高一尺，魔高一丈，保持警惕，安全防护实时跟进就是了。

[wslzy007]

@az22c
自己使用的话不要发不到外网。具体做法：
1 、使用工具建立 A to C 的 P2P 连接
2 、C 上无需监听端口
3 、只有从 A 可以访问 C
如上就非常安全了，至于工具如果只是远程端口映射，无需 vpn ，推荐使用 SG：github.com/lazy-luo/smarGate

[hamsterbase]

电脑 a 安装 tailscale
电脑 b 安装 tailscale

问题就解决了

[huihuilang]

我用 vpn+内网远程桌面解决，技术不行公网开端口怕怕的

[xPKK1qofAr6RR09O]

不适合，你猜 CIA 手里有没有一堆 0day 漏洞

[mm2x]

我一般是 ACL 做策略 只允许白名单 IP 通过。或者你有环境的话使用 IPv6

[cdh1075]

有一个 vps 上的 windows 11 ，全关系统防火墙，全关 vps 商的硬件防火墙，3389 暴露公网，两年前发现基本每天有好几百的链接请求，那个主机也不重要，所以我就故意一直这么放着做个实验，除了及时更新补丁，啥格外的安全措施不加，两年过去了，没被打穿。
3389 的安全风险和 ssh 是一样的，一是弱密码，二是安全 bug 。
弱密码可以通过加证书解决，安全 bug 遇到的几率和中彩票差不多。

[a578800641]

@huihuilang 跟你一样，我也是这样处理的，，

[yijiangchengming]

都上 VPN 了，为什么不试试 WireGuard 呢？

[rnv]

有公网 IP
弱密码
开放远程桌面
是不安全的

我已经试过了。前几天在 ikuai 后台看到一个可疑 IP 通过远程桌面跟我 PC 建立了很多连接