Spørg hvad RDP er, og du får to svar, begge rigtige. Det ene er en funktion, der har ligget inde i Windows siden Windows NT-tiden. Det andet er en lejet Windows-maskine, solgt pr. måned, som folk kalder "en RDP".
Hvis en arbejdsgiver eller en kunde har sagt, at du skal "bruge RDP", mener de næsten helt sikkert det første. Det har du sandsynligvis allerede. Hvis du fandt RDP på en udbyders side med en pris ved siden af, så kiggede du på det andet.
RDP betyder to forskellige ting
RDP står for Remote Desktop Protocol, protokollen til fjernskrivebord. Det er Microsofts protokol til at styre én computer fra en anden over et netværk, og den er indbygget i Windows. De samme tre bogstaver dukker også op på hosternes produktsider. I den sammenhæng betyder en "RDP-server" normalt en hostet Windows-maskine, ofte en VPS, hvor Fjernskrivebord allerede er slået til. Du når den via protokollen.
Så: hvad er RDP i dit tilfælde? Det afhænger af, hvor du så ordet. En installationsvejledning mener normalt protokollen; hostingannoncer mener ofte en lejet Windows-maskine med RDP slået til.
Microsoft udviklede RDP i 1998. Den kom første gang med den første udgave af Windows NT Terminal Server. På en Windows-pc er klientsiden allerede installeret og allerede betalt. Den hedder Forbindelse til fjernskrivebord, og du finder den ved at skrive det navn i søgefeltet i startmenuen. Microsoft udgiver også nyere klienter, blandt andet Windows App. De er tilgængelige på mange forskellige typer enheder ud over Windows.
Hvis den maskine, du skal nå, allerede findes og kører en udgave, der kan være vært for Fjernskrivebord, har du normalt ikke brug for et separat RDP-produkt. Det dækker en kontor-pc, en server dit team driver, eller en VPS du allerede har. Slå adgangen til, gør værten tilgængelig, åbn så klienten, indtast adressen og log ind.
Sådan virker protokollen til fjernskrivebord
Tre betingelser skal være opfyldt, før en RDP-forbindelse lykkes, og en fejl skyldes næsten altid en af dem. Fjernskrivebord skal være slået til på værten. Værten skal kunne nås fra det sted, du sidder, altså det samme kontornetværk eller en åben vej over internettet. Og du skal have en konto eller loginoplysninger, som værten accepterer, med tilladelse til at logge ind eksternt. At indtaste en IP-adresse er kun den sidste af de tre.
Når det er på plads, forløber en session i tre faser:
- Opsætning. En administrator slår Fjernskrivebord til på værtsmaskinen og bestemmer, hvem der må forbinde. Det er her, sikring af en RDP-vært er billigst, fordi der endnu ikke er blevet udstillet noget.
- Forbindelse. Klienten sender værtsadressen og dine loginoplysninger. Hvis de accepteres, åbner værten en session for din konto. Trinnene til at forbinde fra Windows er de samme, uanset om værten står ved siden af dig eller i et andet land.
- Kommunikation. Værten sender skrivebordsgrafikken til dig; dine tastatur- og museinput går tilbage. Dine programmer kører på værten, ikke på din egen maskine.
Nedenunder deler RDP de forskellige typer sessionsdata op i logiske virtuelle kanaler og multiplexer derefter de kanaler over forbindelsen. Skærmopdateringer, input, udskrivning og enhedsomdirigering kan behandles og prioriteres hver for sig, selv om de stadig deler den samme netværksvej. Sessionstrafikken er krypteret undervejs. Microsofts egen arkitekturdokumentation placerer de komponenter, der styrer de kanaler, i ITU's T.120-familie. T.122 definerer multipoint-tjenesterne; T.125 definerer protokollen til dataoverførsel.
Tallet, man skal huske, er 3389. Fjernskrivebord lytter som standard på port 3389, og det både over TCP og UDP. Den port kan konfigureres via registreringsdatabasen. UDP er den nyeste af de to. Den kom med RDP 8.0-opdateringen, som lader en administrator bruge både TCP og UDP. Sessioner falder så mere elegant tilbage på netværk med tab. Når nogen beder dig om at "åbne firewallen for RDP", er 3389 det, de mener.
Hvad RDP kan
Med printeromdirigering slået til kan printeren på dit skrivebord dukke op inde i den eksterne session, som om den var tilsluttet der. Det trick, der kaldes omdirigering, er størstedelen af det, der skiller RDP fra en almindelig skærmviser.
| Egenskab | Hvad det gør | Hvorfor det betyder noget |
|---|---|---|
| Smartcard-godkendelse | Accepterer fysiske sikkerhedstokens med indbygget chip | Stærkere end en adgangskode alene |
| Båndbreddeformindskelse | Koder og komprimerer skrivebordsopdateringer i stedet for at sende rå fuldskærmsvideo | Brugbare sessioner på langsomme forbindelser |
| Brug af flere skærme | Driver mere end én skærm i en enkelt session | Fjernskrivebordet passer til din fysiske opstilling |
| GPU-understøttelse | Kan bruge GPU-acceleration på værten og hardwarebaseret H.264/AVC-kodning, hvor det understøttes og er slået til | Grafiktunge programmer bliver ved med at være til at se på |
| Lyd-omdirigering | Afspiller fjernlyden gennem dine lokale højttalere | Video og opkald virker inde i sessionen |
| Filsystemomdirigering | Gør dine lokale drev tilgængelige for den eksterne session | At kopiere filer kræver ikke noget tredjepartsværktøj |
| Printeromdirigering | Gør din lokale printer tilgængelig for den eksterne session | Intet dokument at eksportere bare for at printe det hos dig selv |
| Portomdirigering | Understøtter seriel/COM-omdirigering og udvalgt USB-omdirigering, når det er konfigureret | Kompatibelt udstyr kan blive ved med at være tilgængeligt eksternt |
GPU-rækken har et forbehold, der er værd at kende. Den gamle komponent RemoteFX vGPU er væk. Microsoft nævner RemoteFX 3D-videoadapteren blandt de fjernede Windows Server-funktioner og peger i stedet på Discrete Device Assignment. Komponenten bar desuden en sårbarhed til fjernudførelse af kode, CVE-2020-1036. Moderne Hyper-V-værter kan stille GPU-ressourcer til rådighed gennem Discrete Device Assignment eller GPU-opdeling i stedet for RemoteFX vGPU. Det er derfor, opsætninger til gaming over afstand er så kræsne med værtens hardware.
Om flere personer kan være logget ind samtidig er en egenskab ved værten, ikke ved protokollen. Et enkelt Windows-skrivebord betjener som regel én interaktiv session. At være vært for mange isolerede sessioner på én Windows Server er Fjernskrivebordstjenesternes opgave, ikke det rene RDP's. I en normal RDS-opsætning på Windows Server skal hver bruger eller enhed også have den rette RDS CAL. Tjek både sessionsmodellen og licenserne, før du lover et team en fælles maskine.
Hvor RDP kommer til kort
RDP er en god protokol med fire konkrete omkostninger. Tre af dem er dine at styre. Den fjerde afgør, om RDP overhovedet er det rigtige værktøj.
Port 3389 på det åbne internet
Sæt ikke RDP direkte på det offentlige internet. En 3389, der vender mod internettet, er en helt almindelig vej til første adgang, og historien er dokumenteret. CVE-2019-0708, kendt som BlueKeep, gjorde det muligt for en uautentificeret angriber at udføre kode på et mål. Det var nok at forbinde og sende forfalskede forespørgsler.
BlueKeep og DejaBlue blev begge offentliggjort og rettet i 2019. Det eksponeringsmønster, de udnyttede, er ikke forsvundet. At gætte loginoplysninger mod en åben port havde aldrig brug for en sårbarhed til at begynde med.
Modforanstaltningerne er helt almindelige. Sæt værten bag en VPN eller en gateway til fjernskrivebord, så porten ikke kan nås fra vilkårlige adresser. Begræns hvilke kildeadresser der må forbinde. Tilføj multifaktorgodkendelse i adgangslaget, hvor din opsætning understøtter det, for eksempel en RD Gateway-opsætning. Kør Windows-opdateringer i et tempo, du kan holde. Hvis maskinen skal kunne nås fra hvor som helst, hører hastighedsbegrænsning af mislykkede logins også på den liste.
Forbindelsen er oplevelsen
Hvert billede, du ser, har krydset et netværk. På en stabil linje føles RDP næsten lokalt. På en overbelastet eller en med høj latenstid kommer hvert tastetryk for sent, og forsinkelsen lægger sig sammen hen over en sætning. Store filoperationer er værre end skærmens genopbygning. Mobilnetværk forstærker dette. RDP fra en Android-enhed har fordel af, at du sænker sessionens opløsning, før du skælder serveren ud.
Værten betaler for sessionen
At rendere skrivebordet, kode det og køre dine programmer sker alt sammen på værten. En maskine, der har det fint med at køre en baggrundstjeneste, kan komme til kort, så snart nogen arbejder interaktivt på den. Det bliver værre med hver ekstra session. Dimensionér værten efter det arbejde, du har i tankerne at lave inde i den, ikke efter det arbejde den udfører i dag.
Windows på værten, næsten hvad som helst på klienten
Det er den grænse, der afgør værktøjet. Klientsiden er langt mindre begrænset. Værtssiden er det ikke. Microsofts dokumentation nævner de udgaver der kan være vært for en session: Professional, Enterprise, Education og Windows Server. Home-udgaver kan ikke.
Det er det, der begrænser Microsofts indbyggede RDP-hosting til Windows. macOS leverer ikke en RDP-vært indbygget, så at styre en Mac sender dig videre til et andet værktøj til fjernadgang. Linux er undtagelsen, der er værd at kende. Open source-implementeringen xrdp besvarer RDP-forbindelser uden noget fra Microsoft, og xRDP på Ubuntu er det sædvanlige startpunkt.
Hvad hostingudbydere mener med en RDP-server
Du køber en, og udbyderen giver dig forbindelsesoplysningerne: typisk en IP-adresse, et brugernavn og en adgangskode. Der er ingen fysisk kasse og intet lokalt installationsprogram. Afhængigt af udbyderen kan du vælge Windows-versionen under klargøringen; serveren selv kører i et datacenter med Fjernskrivebord slået til, før du forbinder.
I hostingannoncer er det produkt normalt en Windows-VPS med RDP slået til. VPS'en kører sit eget Windows-miljø på delt fysisk infrastruktur, og du lejer den virtuelle maskine i stedet for at eje hardwaren. Udbyderen forudkonfigurerer protokolhalvdelen, så værten er slået til, kan nås og kører, før du forbinder første gang.
Den vigtigste variabel mellem pakkerne er, om maskinen er din alene eller delt. Det afgør, hvad du må installere, og hvad der sker, når en nabo får travlt. Det er grænsen mellem delte og administrator-RDP-pakker.
Hvad du får med en hostet RDP-server
Den første session ser sådan ud. Åbn Forbindelse til fjernskrivebord, indsæt adressen, indtast så det brugernavn og den adgangskode, du fik sendt. Et Windows-skrivebord dukker op. Fra det punkt opfører det sig som enhver anden Windows-maskine. Du installerer software, browser, kører programmer og lader ting køre videre, når du lukker vinduet.
Det, du betaler for, er den del, der ligger nedenunder. Udbyderen ejer hardwaren, netværket og den fysiske sikkerhed. Den holder maskinen tændt, når din egen bærbare ikke er. Vær klar over, hvor grænsen ligger. På en ikke-administreret pakke bliver alt, hvad der sker inde i Windows, dit. Opdateringer, brugerkonti og firewallregler er dit arbejde. En hostet server flytter hardwareproblemet væk fra dit skrivebord; den flytter ikke problemet med opdateringer.
To andre egenskaber betyder noget i praksis. Ressourcer er normalt elastiske, så en underdimensioneret maskine kan få mere CPU eller hukommelse uden at blive bygget om. Og placeringen er et valg, du træffer én gang og mærker hver dag, fordi afstanden sætter gulvet for, hvor hurtigt sessionen kan reagere. Udbydere er forskellige på begge punkter, og på hvor meget af stakken de vil røre. Det er de tre punkter, der er værd at vægte, når du vælger en RDP-udbyder.
Hvem bruger RDP-servere
De her fire situationer har brug for det samme: en Windows-maskine, der bliver ved med at være tændt, bliver ved med at kunne nås, og ikke rejser med i en taske.
Distribuerede teams og fjernarbejde
Et hostet skrivebord giver hvert teammedlem de samme værktøjer og filer, uanset hvilken hardware der står foran dem. Det kan holde arbejdsdata på en virksomhedsstyret maskine i stedet for at lagre dem lokalt, forudsat at politikkerne for udklipsholder, drev og anden omdirigering er sat op derefter.
Udviklings- og testmiljøer
At bygge og teste kræver hardware, der står stille det meste af tiden. At leje den pr. måned undgår at købe hardware til spidsbelastningen. En testmaskine, der bliver ødelagt, kan bygges om, uden at nogen mister sin arbejdsstation.
Undervisnings- og labmiljøer
Et identisk forudkonfigureret skrivebord, udleveret til hver deltager, betyder, at alle starter fra samme tilstand. Ingen bruger den første lektion på at installere software eller fejlfinde én bærbars driverproblem.
Kontrakt- og freelancearbejde
En kunde kan give en freelancer et separat arbejdsmiljø uden at give direkte adgang til en arbejdsstation i virksomheden. Data kan blive på den hostede maskine, hvis udklipsholder, drev og andre omdirigeringsveje er begrænset. Når projektet slutter, kan kontoen eller maskinen fjernes.
RDP-alternativer der er værd at kende
To af de tre alternativer nedenfor kan styre en Mac. Det er den akse, denne kategori drejer om. Prøven er ikke, hvilket værktøj der har flest funktioner, men hvad målmaskinen kører, og om du kan nå den.
| Værktøj | Understøttede målplatforme | Sådan når du den |
|---|---|---|
| Protokol til fjernskrivebord | Windows | Værtens egen adresse, som standard på TCP- eller UDP-port 3389 |
| Chrome Remote Desktop | Mac, Windows eller Linux | Gennem browseren, med en pinkode indtastet ved tilslutning |
| TeamViewer | Windows, macOS, Linux og understøttede Android-enheder; kun skærmdeling på iOS/iPadOS og ChromeOS | TeamViewer-software på den eksterne enhed; desktop- eller webklient på den side, der forbinder |
| UltraVNC | Windows | En Windows-viser, eller en Java-viser fra Linux, macOS og andre systemer |
Googles egen dokumentation dækker opsætning af Chrome Remote Desktop til fjernadgang til en Mac-, Windows- eller Linux-computer, altså præcis det tilfælde, RDP ikke kan dække. Det er her den mulighed, der er lettest at få op at køre. Det er også den, der lægger mest tredjepartsinfrastruktur ind i forbindelsesvejen, og det er der, dens sikkerhedsafvejninger ligger.
TeamViewer dækker det bredeste udvalg af platforme her, men understøttelsen er ikke identisk på hvert mål. Dens aktuelle understøttelsesmatrix omfatter Windows, macOS, Linux, Android, iOS/iPadOS og ChromeOS; iOS/iPadOS og ChromeOS er tilfælde af skærmdeling snarere end fuld fjernstyring.
VNC-familien er den nærmeste tekniske slægtning og den mest anderledes i praksis. UltraVNC's egen dokumentation beskriver en server kun til Windows med en Java-baseret viser til andre platforme. Den behandler desuden kryptering som et plugin i stedet for som standard, og det er det vigtigste at vide, før man kører det over et netværk, man ikke stoler på. På en Windows-vært kommer valget mellem RDP og VNC normalt ned til netop det.
Hvornår det er det rigtige svar at leje en Windows-maskine
Værtssiden af RDP kan skæres ned til en kort specifikation: en maskine, der bliver ved med at være tændt og kunne nås, har nok CPU og hukommelse til interaktivt arbejde, og bliver opdateret. Har du allerede den maskine, og kan den være vært for Fjernskrivebord, er der ingen separat RDP-tjeneste at købe. Slå Fjernskrivebord til, gør værten tilgængelig, og forbind med en klient.
Har du den ikke, er den specifikation netop det, en hostet RDP-server udfylder. Hos Cloudzy leveres vores Windows RDP-servere med Windows Server forudinstalleret og Fjernskrivebord slået til, med en oppetids-SLA på 99,95 %. De kører i datacentre i Nordamerika, Europa, Mellemøsten og Asien-Stillehavsområdet, så du kan placere maskinen tæt på de folk, der bruger den. Der er 14 dages pengene-tilbage-garanti, hvis latenstiden viser sig værre, end du håbede.
Ofte stillede spørgsmål
Er RDP gratis?
Der er ikke noget separat gebyr for RDP-protokollen eller for den indbyggede Windows-klient. Ejer eller driver du allerede en understøttet vært, kan du forbinde til den uden at købe et "RDP"-produkt. Det, der koster penge, er maskinen i den anden ende. En udbyder, der reklamerer med "en RDP" til en månedspris, lejer dig en hostet Windows-server, ikke protokollen.
Kan jeg bruge RDP på en Mac eller på Linux?
Du kan forbinde fra begge. Microsoft leverer Windows App og klienter til fjernskrivebord til macOS og flere andre platforme; på Linux skal du bruge en RDP-klient fra tredjepart. At være vært er den anden retning. Linux kan besvare RDP gennem xrdp, mens macOS ikke leverer en RDP-vært indbygget.
Er protokollen til fjernskrivebord det samme som en VPN?
Nej. RDP giver dig skærmen og tastaturet på én bestemt maskine. En VPN sætter din enhed ind på et netværk, så du kan nå det, der ligger på det, men den giver dig ikke noget skrivebord. De to bruges ofte sammen: VPN'en leverer den private vej, og RDP kører sessionen oven på den.
Bør jeg ændre standard-RDP-porten?
Det sænker støjen, ikke risikoen. Umålrettet scanning tjekker 3389 og går videre, så en anden port holder den trafik ude af dine logfiler. Adgangskontrol er det ikke: en scanning rettet mod din adresse finder tjenesten alligevel. Betragt det som oprydning, aldrig som en erstatning for at begrænse adgangen.
