Chiedete che cos'è l'RDP e otterrete due risposte, entrambe corrette. Una è una funzione che viaggia dentro Windows dai tempi di Windows NT. L'altra è una macchina Windows in affitto, venduta al mese, che la gente chiama «un RDP».
Se un datore di lavoro o un cliente vi ha detto di «usare l'RDP», intende quasi certamente la prima. Probabilmente la avete già. Se avete trovato RDP sulla pagina di un fornitore con un prezzo accanto, stavate guardando la seconda.
RDP indica due cose diverse
RDP sta per Remote Desktop Protocol, il Protocollo Desktop Remoto. È il protocollo di Microsoft per controllare un computer da un altro attraverso una rete, ed è integrato in Windows. Le stesse tre lettere compaiono anche sulle pagine prodotto degli hoster. In quel contesto un «server RDP» indica di solito una macchina Windows ospitata, spesso un VPS, con Desktop Remoto già attivo. Ci arrivate usando il protocollo.
Quindi: che cos'è l'RDP nel vostro caso? Dipende da dove avete visto la parola. Delle istruzioni di installazione intendono di norma il protocollo; gli annunci di hosting indicano spesso una macchina Windows in affitto con RDP attivo.
Microsoft ha sviluppato l'RDP nel 1998. È arrivato per la prima volta con la prima versione di Windows NT Terminal Server. Su un PC Windows la parte client è già installata e già pagata. Si chiama Connessione Desktop remoto, e la trovate digitando quel nome nella casella di ricerca del menu Start. Microsoft pubblica anche client più recenti, tra cui Windows App. Sono disponibili su molti tipi diversi di dispositivi oltre a Windows.
Se la macchina che dovete raggiungere esiste già e gira su un'edizione capace di ospitare Desktop Remoto, di norma non vi serve un prodotto RDP separato. Questo copre un PC d'ufficio, un server gestito dal vostro team o un VPS che avete già. Abilitate l'accesso, rendete l'host raggiungibile, poi aprite il client, inserite l'indirizzo e accedete.
Come funziona il Protocollo Desktop Remoto
Tre condizioni devono valere prima che una connessione RDP riesca, e un errore dipende quasi sempre da una di esse. Desktop Remoto deve essere attivo sull'host. L'host deve essere raggiungibile da dove siete seduti, cioè dalla stessa rete d'ufficio o attraverso un percorso aperto su internet. E dovete avere un account o delle credenziali che l'host accetta, con il permesso di accedere da remoto. Inserire un indirizzo IP è solo l'ultima delle tre.
Con quelle in ordine, una sessione si svolge in tre fasi:
- Configurazione. Un amministratore attiva Desktop Remoto sulla macchina host e decide chi può collegarsi. È qui che mettere in sicurezza un host RDP costa meno, perché non è ancora esposto niente.
- Connessione. Il client invia l'indirizzo dell'host e le vostre credenziali. Se vengono accettate, l'host apre una sessione per il vostro account. I passaggi per collegarsi da Windows sono gli stessi sia che l'host stia accanto a voi sia che stia in un altro paese.
- Comunicazione. L'host vi manda la grafica del desktop; i vostri input da tastiera e mouse tornano indietro. Le vostre applicazioni girano sull'host, non sulla vostra macchina.
Sotto il cofano, RDP separa i diversi tipi di dati di sessione in canali virtuali logici, poi multiplexa quei canali sulla connessione. Aggiornamenti dello schermo, input, stampa e reindirizzamento dei dispositivi possono essere gestiti e prioritizzati separatamente anche se continuano a condividere lo stesso percorso di rete. Il traffico di sessione è cifrato in transito. La documentazione di architettura di Microsoft colloca i componenti che gestiscono quei canali nella famiglia T.120 dell'ITU. T.122 definisce i servizi multipunto; T.125 definisce il protocollo di trasmissione dati.
Il numero da ricordare è 3389. Desktop Remoto è in ascolto sulla porta 3389 per impostazione predefinita, sia su TCP sia su UDP. Quella porta è configurabile dal registro. UDP è il più recente dei due. È arrivato con l'aggiornamento RDP 8.0, che permette a un amministratore di usare sia TCP sia UDP. Le sessioni degradano allora in modo più elegante su reti con perdite. Quando qualcuno vi chiede di «aprire il firewall per l'RDP», intende 3389.
Cosa sa fare l'RDP
Con il reindirizzamento della stampante attivo, la stampante sulla vostra scrivania può comparire dentro la sessione remota come se fosse collegata lì. Questo trucco, chiamato reindirizzamento, è la maggior parte di ciò che separa l'RDP da un semplice visualizzatore di schermo.
| Proprietà | Cosa fa | Perché è importante |
|---|---|---|
| Autenticazione con smart card | Accetta token di sicurezza fisici con chip integrato | Più robusto di una sola password |
| Riduzione della larghezza di banda | Codifica e comprime gli aggiornamenti del desktop invece di inviare video a schermo pieno non elaborato | Sessioni utilizzabili su connessioni lente |
| Utilizzo di più display | Pilota più di un monitor in una sola sessione | Il desktop remoto rispecchia la vostra configurazione fisica |
| Supporto GPU | Può usare l'accelerazione GPU dell'host e la codifica hardware H.264/AVC dove è supportata e attivata | Le applicazioni pesanti sul lato grafico restano guardabili |
| Reindirizzamento audio | Riproduce l'audio remoto dai vostri altoparlanti locali | Video e chiamate funzionano dentro la sessione |
| Reindirizzamento del file system | Espone i vostri dischi locali alla sessione remota | Copiare file non richiede strumenti di terze parti |
| Reindirizzamento Stampante | Espone la vostra stampante locale alla sessione remota | Nessun documento da esportare solo per stamparlo dalla vostra parte |
| Reindirizzamento Porta | Supporta il reindirizzamento seriale/COM e un reindirizzamento USB selettivo quando è configurato | Le periferiche compatibili possono restare disponibili da remoto |
La riga sulla GPU porta con sé un'avvertenza che vale conoscere. Il vecchio componente RemoteFX vGPU non c'è più. Microsoft elenca l' adattatore video 3D RemoteFX tra le funzionalità rimosse da Windows Server e rimanda invece a Discrete Device Assignment. Quel componente portava anche una vulnerabilità di esecuzione di codice remoto, CVE-2020-1036. Gli host Hyper-V moderni possono esporre risorse GPU tramite Discrete Device Assignment o il partizionamento della GPU invece di RemoteFX vGPU. È per questo che le configurazioni di gioco in remoto sono così esigenti sull'hardware dell'host.
Se più persone possano essere collegate contemporaneamente è una proprietà dell'host, non del protocollo. Un singolo desktop Windows serve in genere una sola sessione interattiva. Ospitare molte sessioni isolate su un solo Windows Server è il compito dei Servizi Desktop remoto, non dell'RDP semplice. In una normale distribuzione RDS su Windows Server, ogni utente o dispositivo ha bisogno anche della licenza RDS CALadeguata. Verificate sia il modello di sessione sia le licenze prima di promettere una macchina condivisa a un team.
Dove l'RDP non arriva
L'RDP è un buon protocollo con quattro costi precisi. Tre sono vostri da gestire. Il quarto decide se l'RDP sia lo strumento giusto in assoluto.
La porta 3389 su internet aperta
Non mettete l'RDP direttamente su internet pubblica. Una 3389 esposta a internet è un vettore di accesso iniziale ordinario, e la storia è documentata. CVE-2019-0708, nota come BlueKeep, permetteva a un attaccante non autenticato di eseguire codice su un bersaglio. Bastava collegarsi e inviare richieste costruite ad arte.
BlueKeep e DejaBlue sono stati entrambi divulgati e corretti nel 2019. Lo schema di esposizione che sfruttavano non è andato via. Indovinare credenziali contro una porta aperta non ha mai avuto bisogno di una vulnerabilità, per cominciare.
Le mitigazioni sono ordinarie. Mettete l'host dietro una VPN o un Gateway Desktop remoto, così la porta non è raggiungibile da indirizzi qualunque. Limitate quali indirizzi di origine possono collegarsi. Aggiungete l'autenticazione a più fattori sul livello di accesso dove la vostra configurazione lo permette, per esempio una distribuzione RD Gateway. Applicate gli aggiornamenti di Windows con un ritmo che riuscite a mantenere. Se la macchina deve essere raggiungibile da qualunque posto, limitare la frequenza degli accessi falliti appartiene anche a quella lista.
La connessione è l'esperienza
Ogni fotogramma che vedete ha attraversato una rete. Su un collegamento stabile l'RDP sembra quasi locale. Su uno congestionato o a latenza alta ogni battuta arriva in ritardo, e il ritardo si accumula lungo una frase. Le operazioni su file grandi sono peggio del ridisegno dello schermo. Le reti mobili amplificano tutto questo. L'RDP da un dispositivo Android trae vantaggio dall'abbassare la risoluzione della sessione prima di dare la colpa al server.
È l'host a pagare la sessione
Rendere il desktop, codificarlo ed eseguire le vostre applicazioni avviene tutto sull'host. Una macchina a suo agio nel far girare un servizio in background può soffrire appena qualcuno vi lavora in modo interattivo. Peggiora con ogni sessione in più. Dimensionate l'host per il lavoro che intendete farci dentro, non per il lavoro che svolge oggi.
Windows sull'host, quasi qualunque cosa sul client
Questo è il confine che decide lo strumento. Il lato client è molto meno vincolato. Il lato host non lo è. La documentazione di Microsoft nomina le edizioni che possono ospitare una sessione: Professional, Enterprise, Education e Windows Server. Le edizioni Home non possono.
È questo che limita l'hosting RDP integrato di Microsoft a Windows. macOS non fornisce nativamente un host RDP, quindi controllare un Mac vi porta a un altro strumento di accesso remoto. Linux è l'eccezione che vale conoscere. L'implementazione open source xrdp risponde alle connessioni RDP senza niente di Microsoft, e xRDP su Ubuntu ne è il punto di partenza abituale.
Cosa intendono gli hoster per server RDP
Ne comprate uno e il fornitore vi dà i dati di connessione: di solito un indirizzo IP, un nome utente e una password. Non c'è nessuna scatola fisica né un installatore locale. A seconda del fornitore potete scegliere la versione di Windows durante il provisioning; il server in sé gira in un data center con Desktop Remoto attivo prima che vi colleghiate.
Negli annunci di hosting quel prodotto è di solito un VPS Windows con RDP attivo. Il VPS fa girare il proprio ambiente Windows su infrastruttura fisica condivisa, e voi affittate la macchina virtuale invece di possedere l'hardware. Il fornitore preconfigura la metà protocollo, così l'host è attivo, raggiungibile e in funzione prima che vi colleghiate la prima volta.
La variabile principale tra i piani è se la macchina è solo vostra o condivisa. Questo decide cosa potete installare e cosa succede quando un vicino si mette a lavorare. È la linea tra i piani RDP condivisi e amministratore.
Cosa ottenete con un server RDP ospitato
La prima sessione somiglia a questo. Aprite Connessione Desktop remoto, incollate l'indirizzo, poi inserite nome utente e password che vi hanno inviato. Compare un desktop Windows. Da quel punto si comporta come qualunque altra macchina Windows. Installate software, navigate, avviate applicazioni e lasciate le cose in esecuzione quando chiudete la finestra.
Quello per cui pagate è la parte sotto. Il fornitore possiede l'hardware, la rete e la sicurezza fisica. Tiene la macchina accesa quando il vostro portatile non lo è. Siate chiari su dove passa la linea. Su un piano non gestito, quello che accade dentro Windows resta a voi. Aggiornamenti, account utente e regole del firewall sono compito vostro. Un server ospitato sposta il problema dell'hardware fuori dalla vostra scrivania; non sposta il problema delle patch.
Altre due proprietà contano nella pratica. Le risorse sono di solito elastiche, così a una macchina sottodimensionata si può dare più CPU o memoria senza ricostruirla. E la posizione è una scelta che fate una volta e sentite ogni giorno, perché la distanza fissa il pavimento di quanto reattiva possa essere la sessione. I fornitori differiscono su entrambe, e su quanta parte dello stack siano disposti a toccare. Sono i tre punti da pesare quando scegliete un fornitore RDP.
Chi usa i server RDP
Queste quattro situazioni hanno bisogno della stessa cosa: una macchina Windows che resti accesa, resti raggiungibile e non viaggi in una borsa.
Team remoti e distribuiti
Un desktop ospitato dà a ogni membro del team gli stessi strumenti e gli stessi file, qualunque sia l'hardware che ha davanti. Può tenere i dati di lavoro su una macchina controllata dall'azienda invece di conservarli in locale, a condizione che le politiche su appunti, dischi e altri reindirizzamenti siano configurate di conseguenza.
Ambienti di sviluppo e test
Compilare e testare richiede hardware che resta inattivo per la maggior parte del tempo. Affittarlo al mese evita di comprare hardware per il picco. Una macchina di test che si corrompe può essere ricostruita senza che nessuno perda la propria postazione.
Ambienti di formazione e laboratorio
Un desktop preconfigurato identico, consegnato a ogni studente, fa sì che ogni studente parta dallo stesso stato. Nessuno passa la prima lezione a installare software o a risolvere il problema di driver di un portatile.
Lavoro a contratto e freelance
Un cliente può consegnare a un collaboratore un ambiente di lavoro separato senza dargli accesso diretto a una postazione aziendale. I dati possono restare sulla macchina ospitata se appunti, dischi e altri percorsi di reindirizzamento sono limitati. Quando il progetto finisce, l'account o la macchina si può rimuovere.
Alternative all'RDP che vale conoscere
Due delle tre alternative qui sotto possono controllare un Mac. È l'asse su cui gira questa categoria. La prova non è quale strumento abbia più funzioni, è cosa esegue la macchina bersaglio e se riuscite a raggiungerla.
| Strumento | Piattaforme bersaglio supportate | Come lo raggiungete |
|---|---|---|
| Protocollo Desktop Remoto | Windows | L'indirizzo proprio dell'host, sulla porta 3389 TCP o UDP per impostazione predefinita |
| Desktop remoto di Chrome | Mac, Windows o Linux | Attraverso il browser, con un PIN inserito al momento della connessione |
| TeamViewer | Windows, macOS, Linux e dispositivi Android supportati; solo condivisione dello schermo su iOS/iPadOS e ChromeOS | Software TeamViewer sul dispositivo remoto; client desktop o web dal lato che si collega |
| UltraVNC | Windows | Un visualizzatore Windows, oppure un visualizzatore Java da Linux, macOS e altri sistemi |
La documentazione di Google copre la configurazione di Chrome Remote Desktop per l'accesso remoto a un computer Mac, Windows o Linux, che è esattamente il caso che l'RDP non può servire. È l'opzione più facile da mettere in funzione qui. È anche quella che mette più infrastruttura di terze parti nel percorso della connessione, ed è lì che stanno i suoi compromessi di sicurezza.
TeamViewer copre qui la gamma di piattaforme più ampia, ma il supporto non è identico su ogni bersaglio. La sua matrice di supporto attuale comprende Windows, macOS, Linux, Android, iOS/iPadOS e ChromeOS; iOS/iPadOS e ChromeOS sono casi di condivisione dello schermo più che di controllo remoto completo.
La famiglia VNC è il parente tecnico più vicino, e il più diverso nella pratica. La documentazione di UltraVNC descrive un server solo per Windows con un visualizzatore basato su Java per le altre piattaforme. Tratta anche la cifratura come un plug-in invece che come impostazione predefinita, ed è la cosa più importante da sapere prima di usarlo attraverso una rete non fidata. Su un host Windows, la scelta tra RDP e VNC di solito si riduce a questo.
Quando affittare una macchina Windows è la risposta giusta
Il lato host dell'RDP si riduce a una specifica breve: una macchina che resti accesa e raggiungibile, abbia CPU e memoria sufficienti per il lavoro interattivo, e riceva le patch. Se avete già quella macchina e può ospitare Desktop Remoto, non c'è nessun servizio RDP separato da comprare. Attivate Desktop Remoto, rendete l'host raggiungibile e collegatevi con un client.
Se non l'avete, quella specifica è esattamente ciò che un server RDP ospitato riempie. In Cloudzy, i nostri server RDP Windows arrivano con Windows Server preinstallato e Desktop Remoto attivo, con uno SLA di disponibilità del 99,95 %. Girano in data center in Nord America, Europa, Medio Oriente e Asia-Pacifico, così potete mettere la macchina vicino alle persone che la usano. C'è una garanzia di rimborso di 14 giorni se la latenza si rivela peggiore di quanto speravate.
Domande frequenti
L'RDP è gratuito?
Non c'è nessun costo separato per il protocollo RDP né per il client Windows integrato. Se già possedete o gestite un host supportato, potete collegarvi senza comprare nessun prodotto «RDP». Quello che costa è la macchina all'altro capo. Un fornitore che pubblicizza «un RDP» a un prezzo mensile vi sta affittando un server Windows ospitato, non il protocollo.
Posso usare l'RDP su un Mac o su Linux?
Collegarvi potete da entrambi. Microsoft fornisce Windows App e client Desktop remoto per macOS e diverse altre piattaforme; su Linux vi serve un client RDP di terze parti. L'hosting è la direzione opposta. Linux può rispondere all'RDP tramite xrdp, mentre macOS non fornisce nativamente un host RDP.
Il Protocollo Desktop Remoto è la stessa cosa di una VPN?
No. L'RDP vi dà lo schermo e la tastiera di una macchina precisa. Una VPN mette il vostro dispositivo su una rete perché possiate raggiungere ciò che c'è dentro, ma non vi consegna nessun desktop. I due si usano spesso insieme: la VPN fornisce il percorso privato, e l'RDP fa girare la sessione sopra.
Dovrei cambiare la porta RDP predefinita?
Riduce il rumore, non il rischio. Le scansioni non mirate controllano 3389 e vanno avanti, quindi un'altra porta tiene quel traffico fuori dai vostri log. Non è controllo degli accessi: una scansione puntata sul vostro indirizzo troverà comunque il servizio. Trattatelo come mettere in ordine, mai come un sostituto del limitare l'accesso.
