RDPとは何か：リモートデスクトッププロトコルとRDPサーバー

RDPとは何かと尋ねると、答えが二つ返ってきます。どちらも正しいです。一つはWindows NTの時代からWindowsに同梱されている機能です。もう一つは月単位で売られる借り物のWindowsマシンで、人はそれを「RDP」と呼びます。

雇い主や取引先が「RDPを使え」と言ったなら、ほぼ確実に前者を指しています。おそらくすでに手元にあります。価格が添えられたRDPをベンダーのページで見たのなら、見ていたのは後者です。

RDPは二つの異なるものを指します

RDPはRemote Desktop Protocol、つまりリモートデスクトッププロトコルの略です。ネットワーク越しに別のコンピューターから一台を操作するためのMicrosoftのプロトコルで、Windowsに組み込まれています。同じ三文字はホスティング事業者の製品ページにも登場します。その文脈での「RDPサーバー」は通常、リモートデスクトップが有効になったホスト型のWindowsマシン、多くの場合VPSを意味します。そこへはプロトコルを使って到達します。

では、あなたの場合のRDPはどちらでしょうか。その語をどこで見たかによります。セットアップ手順は通常プロトコルを指し、ホスティングの一覧はRDPを有効にした借り物のWindowsマシンを指すことが多いです。

MicrosoftはRDPを1998年に開発しました。最初に同梱されたのは Windows NT Terminal Serverの最初のリリースです。WindowsのPCではクライアント側はすでに入っていて、代金も支払い済みです。名前はリモートデスクトップ接続で、スタートメニューの検索ボックスにその名前を入力すれば見つかります。Microsoftはより新しいクライアントも公開しており、Windows Appもその一つです。これらはWindows以外の さまざまな種類の端末で 利用できます。

到達したいマシンがすでにあり、リモートデスクトップをホストできるエディションで動いているなら、通常は別途RDP製品を用意する必要はありません。オフィスのPC、チームが運用するサーバー、すでに持っているVPSがこれに当たります。アクセスを有効にし、ホストへ到達できるようにしたうえで、クライアントを開き、アドレスを入れてサインインしてください。

リモートデスクトッププロトコルの仕組み

どのRDP接続も成功する前に三つの条件が満たされていなければならず、失敗はほぼ必ずそのどれかにあります。ホストでリモートデスクトップが有効になっていること。座っている場所からホストへ到達できること、つまり同じオフィスネットワークか、インターネット越しの開いた経路があること。そしてホストが受け入れるアカウントまたは資格情報を持ち、リモートでサインインする権限があること。IPアドレスを入力するのは三つのうち最後にすぎません。

それらがそろえば、セッションは三つの段階で進みます。

1. セットアップ。 管理者がホストマシンでリモートデスクトップを有効にし、誰が接続できるかを決めます。まだ何も外部にさらされていないため、 RDPホストを堅牢にする コストがもっとも安いのはこの時点です。
2. 接続 クライアントがホストのアドレスとあなたの資格情報を送ります。受け入れられれば、ホストがあなたのアカウント用にセッションを開きます。 Windowsから接続する 手順は、ホストが隣にあっても別の国にあっても同じです。
3. 通信。 ホストがデスクトップの描画をあなたへ送り、キーボードとマウスの入力が戻っていきます。アプリケーションはあなたのマシンではなくホスト上で動きます。

その下でRDPは、種類の異なるセッションデータを論理的な仮想チャネルに分け、そのチャネルを一本の接続上で多重化します。画面更新、入力、印刷、デバイスリダイレクトは、同じネットワーク経路を共有したままでも別個に扱い、優先度を付けられます。セッションのトラフィックは転送中に暗号化されます。Microsoft自身のアーキテクチャ文書は、それらのチャネルを管理するコンポーネントを ITUのT.120ファミリーに位置づけています。T.122は多地点サービスを規定し、T.125はデータ伝送プロトコルを規定します。

覚えておく数字は3389です。リモートデスクトップは 既定でポート3389を待ち受けます。しかもTCPとUDPの両方です。このポートはレジストリから変更できます。二つのうち新しいのはUDPです。RDP 8.0の更新で登場し、管理者が TCPとUDPの両方を使うことを可能にします。これによりパケット損失のあるネットワークでもセッションの劣化が穏やかになります。誰かが「RDP用にファイアウォールを開けてくれ」と言うとき、指しているのは3389です。

RDPができること

プリンターリダイレクトを有効にすると、机の上のプリンターがまるでそこに接続されているかのようにリモートセッション内に現れます。リダイレクトと呼ばれるその仕掛けが、RDPを単なる画面ビューアーから隔てているものの大半です。

GPUの行には知っておくべき留保が付きます。古いRemoteFX vGPUコンポーネントはなくなりました。Microsoftは RemoteFX 3Dビデオアダプター を削除済みのWindows Server機能として挙げ、代わりにDiscrete Device Assignmentを案内しています。そのコンポーネントはリモートコード実行の脆弱性も抱えていました。 CVE-2020-1036です。最新のHyper-VホストはRemoteFX vGPUではなく、Discrete Device AssignmentやGPUパーティション分割を通じてGPUリソースを提供できます。だからこそ 遠隔ゲーミングの構成 はホストのハードウェアにこれほどこだわるのです。

複数人が同時にサインインできるかどうかは、プロトコルではなくホストの性質です。単一のWindowsデスクトップは通常、対話セッションを一つ提供します。一台のWindows Serverで多数の分離されたセッションをホストするのはリモートデスクトップサービスの仕事で、素のRDPの仕事ではありません。通常のWindows ServerのRDS構成では、各ユーザーまたは各デバイスに適切な RDS CALライセンスも必要です。チームに共用マシンを約束する前に、セッションモデルとライセンスの両方を確認してください。

RDPが足りないところ

RDPは四つの具体的な代価を伴う良いプロトコルです。三つはあなたが管理するものです。四つ目は、RDPがそもそも適切な道具かどうかを決めます。

開かれたインターネット上のポート3389

RDPを公開インターネットに直接置かないでください。インターネットに面した3389はありふれた初期侵入経路であり、その歴史は記録されています。 CVE-2019-0708、通称BlueKeepは、認証されていない攻撃者が標的上でコードを実行できる状態を許していました。接続して細工した要求を送るだけで十分でした。

BlueKeepとDejaBlueはいずれも2019年に公表され、修正されました。両者が突いた露出のパターンはどこにも消えていません。開いたポートに対する資格情報の推測は、そもそも脆弱性を必要としませんでした。

緩和策はごく普通のものです。ポートが任意のアドレスから到達できないよう、ホストをVPNやリモートデスクトップゲートウェイの背後に置いてください。どの送信元アドレスが接続できるかを制限してください。構成が対応している場所では、アクセス層に多要素認証を加えてください。RD Gatewayの導入がその例です。Windowsの更新は自分が守れる周期で適用してください。マシンがどこからでも到達できる必要があるなら、 失敗したログインへのレート制限 もそのリストに入ります。

接続そのものが体験です

目にするフレームはすべてネットワークを渡ってきています。安定した回線ではRDPはほとんどローカルのように感じます。混雑した回線や遅延の大きい回線では打鍵のたびに到着が遅れ、その遅れが一文のあいだに積み上がります。大きなファイル操作は画面の再描画より厄介です。モバイル回線はこれを増幅します。 Android端末からのRDP は、サーバーを責める前にセッションの解像度を下げると改善します。

セッションの代価はホストが払う

デスクトップの描画、その符号化、そしてアプリケーションの実行は、すべてホスト上で起こります。バックグラウンドのサービスを回すだけなら余裕のあるマシンでも、誰かが対話的に作業を始めた途端に苦しくなることがあります。セッションが増えるごとに悪化します。ホストの規模は、今こなしている仕事ではなく、その中でやろうとしている仕事に合わせて決めてください。

ホストはWindows、クライアントはほぼ何でも

道具を決めるのはこの境界です。クライアント側の制約はずっと緩いのに対し、ホスト側はそうではありません。Microsoftの文書は セッションをホストできるエディションを次のように挙げています。Professional、Enterprise、Education、そしてWindows Serverです。Homeエディションはできません。

これがMicrosoft内蔵のRDPホスティングをWindowsに限定している理由です。macOSはRDPホストを標準では提供しないため、Macを操作するなら別のリモートアクセス手段へ向かうことになります。Linuxは知っておく価値のある例外です。オープンソースのxrdp実装はMicrosoftのものを何も使わずにRDP接続へ応答し、 Ubuntu上のxRDP が通常の出発点になります。

ホスティング事業者が言う「RDPサーバー」とは

一つ購入すると、事業者が接続情報を渡してくれます。通常はIPアドレス、ユーザー名、パスワードです。物理的な筐体もローカルのインストーラーもありません。事業者によっては配備時にWindowsのバージョンを選べます。サーバー自体は、あなたが接続する前からリモートデスクトップが有効な状態でデータセンターで動いています。

ホスティングの一覧では、その製品はたいていRDPを有効にしたWindowsのVPSです。VPSは共有された物理インフラの上で自前のWindows環境を動かし、あなたはハードウェアを所有せず仮想マシンを借ります。事業者がプロトコル側の半分を事前に構成しておくので、初めて接続する時点でホストは有効で、到達でき、稼働しています。

プラン間の主な違いは、そのマシンがあなた専用か共有かです。それによって何をインストールできるか、そして隣人が忙しくなったときに何が起きるかが決まります。境界はここです。 共有RDPプランと管理者RDPプラン.

ホスト型のRDPサーバーで得られるもの

最初のセッションはこうです。リモートデスクトップ接続を開き、アドレスを貼り付け、送られてきたユーザー名とパスワードを入力します。Windowsのデスクトップが現れます。そこからは他のどのWindowsマシンとも同じように振る舞います。ソフトウェアを入れ、ウェブを見て、アプリケーションを動かし、ウィンドウを閉じても処理を走らせたままにできます。

あなたが代金を払っているのはその下の部分です。ハードウェア、ネットワーク、物理的な安全は事業者のものです。自分のノートPCが落ちているときでもマシンの電源を入れておくのも事業者です。境界がどこにあるかを明確にしてください。非管理プランでは、Windowsの内側で起こることはあなたに残ります。更新、ユーザーアカウント、ファイアウォール規則はあなたの仕事です。ホスト型のサーバーはハードウェアの問題を机から取り除きますが、パッチ適用の問題は取り除きません。

実務ではもう二つの性質が効きます。リソースは通常伸縮するので、規模の足りないマシンは作り直さずにCPUやメモリーを増やせます。そして所在地は一度決めて毎日感じ続ける選択です。距離がセッションの応答性の下限を決めるからです。事業者はその両方で、そしてスタックのどこまで手を入れるかでも違います。検討に値する3点はここにあります。 RDP事業者の選び方.

誰がRDPサーバーを使うのか

この四つの状況が必要としているのは同じものです。電源が入ったままで、到達できたままで、かばんに入って移動しないWindowsマシンです。

リモートと分散したチーム

ホスト型のデスクトップは、目の前にどんなハードウェアがあっても、チームの全員に同じ道具と同じファイルを渡します。クリップボード、ドライブ、その他のリダイレクトの方針が相応に設定されていれば、作業データをローカルに保存せず会社が管理するマシン上に留められます。

開発とテストの環境

ビルドとテストには、ほとんどの時間は遊んでいるハードウェアが必要です。月単位で借りればピークに合わせて買う必要がなくなります。壊れたテストマシンは、誰のワークステーションも失わずに作り直せます。

研修と実習の環境

同一の設定済みデスクトップを受講者全員に渡せば、全員が同じ状態から始められます。最初の時間をソフトウェアの導入や、一台のノートPCのドライバー問題の切り分けに費やす人はいません。

請負と業務委託の仕事

発注側は、社内のワークステーションへ直接アクセスさせずに、受注側へ独立した作業環境を渡せます。クリップボード、ドライブ、その他のリダイレクト経路が制限されていれば、データはホスト型のマシンに留められます。案件が終われば、アカウントかマシンを削除できます。

知っておく価値のあるRDPの代替

下の三つの代替のうち二つはMacを操作できます。この分類が回っている軸はそこです。試されるのはどの道具の機能が多いかではなく、対象のマシンが何を動かしているか、そしてそこへ到達できるかです。

Google自身の文書は、RDPでは対応できないまさにその場合、つまりMac、Windows、Linuxのコンピューターへのリモートアクセスについて、 Chromeリモートデスクトップの設定 を扱っています。ここでは最も動かしやすい選択肢です。同時に、接続経路に第三者のインフラを最も多く挟む選択肢でもあり、まさにそこに セキュリティ上のトレードオフがあります.

TeamViewerはここで最も広いプラットフォーム範囲を覆いますが、対応はどの対象でも同一ではありません。その 現在のサポート表 にはWindows、macOS、Linux、Android、iOS/iPadOS、ChromeOSが含まれます。iOS/iPadOSとChromeOSは完全なリモート操作ではなく画面共有に当たります。

VNC系は技術的に最も近い親戚で、実務上は最も異質です。 UltraVNC自身の文書 は、Windows専用のサーバーと、他のプラットフォーム向けのJavaベースのビューアーを挙げています。暗号化も既定ではなくプラグインとして扱っており、信頼できないネットワーク越しに動かす前に知っておくべき最重要点はそこです。Windowsホストでは、 RDPとVNCのどちらを選ぶか は通常その一点に帰着します。

Windowsマシンを借りるのが正解になるとき

RDPのホスト側は短い要件に落ち着きます。電源が入ったままで到達でき、対話作業に足るCPUとメモリーがあり、パッチが当たるマシンです。そのマシンがすでにあり、リモートデスクトップをホストできるなら、別途買うRDPサービスはありません。リモートデスクトップを有効にし、ホストへ到達できるようにして、クライアントで接続してください。

手元にないなら、その要件を埋めるのがホスト型のRDPサーバーです。Cloudzyの Windows RDPサーバー はWindows Serverをあらかじめ入れ、リモートデスクトップを有効にした状態で提供し、稼働率99.95%のSLAが付きます。北米、欧州、中東、アジア太平洋のデータセンターで動くので、使う人の近くにマシンを置けます。遅延が期待より悪ければ14日間の返金保証があります。

よくある質問

RDPは無料ですか？

RDPプロトコルにもWindows内蔵のクライアントにも、別料金はありません。対応するホストをすでに所有または運用しているなら、「RDP」という製品を買わずに接続できます。お金がかかるのは向こう側のマシンです。「RDP」を月額で宣伝している事業者は、プロトコルではなくホスト型のWindowsサーバーを貸しています。

MacやLinuxでRDPを使えますか？

どちらからでも接続できます。MicrosoftはmacOSやその他いくつかのプラットフォーム向けにWindows Appとリモートデスクトップクライアントを提供しています。Linuxでは第三者製のRDPクライアントが必要です。ホストになるのは逆方向の話です。Linuxはxrdpを通じてRDPに応答できますが、macOSはRDPホストを標準では提供しません。

リモートデスクトッププロトコルはVPNと同じものですか？

違います。RDPは特定の一台の画面とキーボードを渡します。VPNはあなたの端末をネットワークに載せ、その中にあるものへ到達できるようにしますが、デスクトップは渡しません。二つは併用されることが多く、VPNが私的な経路を提供し、その上でRDPがセッションを走らせます。

既定のRDPポートは変えるべきですか？

騒音は減りますが、リスクは減りません。狙いを定めないスキャンは3389を確認して通り過ぎるので、別のポートにすればその通信はログから外れます。ただしアクセス制御ではありません。あなたのアドレスを狙ったスキャンなら、それでもサービスを見つけます。片づけと考えてください。アクセスを制限することの代わりとは、決して考えないでください。