Vraag wat RDP is en u krijgt twee antwoorden, allebei juist. Het ene is een functie die sinds het Windows NT-tijdperk in Windows meekomt. Het andere is een gehuurde Windows-machine, per maand verkocht, die mensen "een RDP" noemen.
Als een werkgever of klant zei dat u "RDP moet gebruiken", bedoelt die vrijwel zeker het eerste. Dat hebt u waarschijnlijk al. Als u RDP op de pagina van een aanbieder vond met een prijs ernaast, keek u naar het tweede.
RDP betekent twee verschillende dingen
RDP staat voor Remote Desktop Protocol, het Extern bureaublad-protocol. Het is Microsofts protocol om de ene computer vanaf een andere over een netwerk te besturen, en het zit ingebouwd in Windows. Diezelfde drie letters duiken ook op productpagina's van hosters op. In die context betekent een "RDP-server" doorgaans een gehoste Windows-machine, vaak een VPS, waarop Extern bureaublad al aanstaat. U bereikt die via het protocol.
Dus: wat is RDP in uw geval? Dat hangt af van waar u het woord tegenkwam. Een installatiehandleiding bedoelt normaal het protocol; hostingaanbiedingen bedoelen vaak een gehuurde Windows-machine met RDP ingeschakeld.
Microsoft ontwikkelde RDP in 1998. Het kwam voor het eerst mee met de eerste uitgave van Windows NT Terminal Server. Op een Windows-pc is de clientkant al geïnstalleerd en al betaald. Die heet Verbinding met extern bureaublad, en u vindt hem door die naam in het zoekvak van het startmenu te typen. Microsoft brengt ook nieuwere clients uit, waaronder Windows App. Die zijn op veel verschillende soorten apparaten buiten Windows beschikbaar.
Als de machine die u moet bereiken al bestaat en een editie draait die Extern bureaublad kan hosten, hebt u doorgaans geen apart RDP-product nodig. Dat geldt voor een kantoor-pc, een server die uw team beheert, of een VPS die u al hebt. Zet de toegang aan, maak de host bereikbaar, open dan de client, voer het adres in en meld u aan.
Hoe het Extern bureaublad-protocol werkt
Aan drie voorwaarden moet zijn voldaan voordat een RDP-verbinding lukt, en een mislukking zit bijna altijd in een daarvan. Extern bureaublad moet aanstaan op de host. De host moet bereikbaar zijn vanaf de plek waar u zit, dus hetzelfde kantoornetwerk of een open pad over internet. En u moet een account of inloggegevens hebben die de host accepteert, met toestemming om op afstand aan te melden. Een IP-adres invoeren is pas de laatste van de drie.
Met die zaken geregeld verloopt een sessie in drie fasen:
- Instellen. Een beheerder zet Extern bureaublad aan op de hostmachine en bepaalt wie mag verbinden. Dit is het punt waarop het beveiligen van een RDP-host het goedkoopst is, omdat er nog niets blootgesteld is.
- Verbinding. De client stuurt het hostadres en uw inloggegevens. Als die geaccepteerd worden, opent de host een sessie voor uw account. De stappen om vanaf Windows te verbinden zijn dezelfde, of de host naast u staat of in een ander land.
- Communicatie. De host stuurt u de bureaubladbeelden; uw toetsenbord- en muisinvoer gaat terug. Uw applicaties draaien op de host, niet op uw eigen machine.
Daaronder splitst RDP de verschillende soorten sessiegegevens in logische virtuele kanalen en multiplext die kanalen dan over de verbinding. Schermupdates, invoer, afdrukken en apparaatomleiding kunnen apart behandeld en geprioriteerd worden, ook al delen ze nog steeds hetzelfde netwerkpad. Sessieverkeer is versleuteld tijdens transport. Microsofts eigen architectuurdocumentatie plaatst de onderdelen die die kanalen beheren in de T.120-familie van de ITU. T.122 definieert de multipointdiensten; T.125 definieert het protocol voor gegevensoverdracht.
Het getal om te onthouden is 3389. Extern bureaublad luistert standaard op poort 3389, en dat zowel over TCP als over UDP. Die poort is instelbaar via het register. UDP is de nieuwere van de twee. Die kwam met de RDP 8.0-update, waarmee een beheerder zowel TCP als UDP kan gebruiken. Sessies lopen dan netter terug op netwerken met verlies. Als iemand u vraagt "de firewall voor RDP open te zetten", bedoelt die 3389.
Wat RDP kan
Met printeromleiding aan kan de printer op uw bureau binnen de externe sessie verschijnen alsof hij daar aangesloten is. Die truc, omleiding genoemd, is het grootste deel van wat RDP onderscheidt van een gewone schermviewer.
| Eigenschap | Wat het doet | Waarom het belangrijk is |
|---|---|---|
| Smartcardauthenticatie | Accepteert fysieke beveiligingstokens met ingebouwde chip | Sterker dan een wachtwoord alleen |
| Bandbreedtevermindering | Codeert en comprimeert bureaubladupdates in plaats van ruwe schermvullende video te sturen | Bruikbare sessies op langzame verbindingen |
| Gebruik van meerdere beeldschermen | Bedient meer dan één monitor in één sessie | Het externe bureaublad past bij uw fysieke opstelling |
| GPU-ondersteuning | Kan GPU-versnelling van de host en hardwarematige H.264/AVC-codering gebruiken waar dat ondersteund en aangezet is | Grafisch zware applicaties blijven te bekijken |
| Audio-omleiding | Speelt het externe geluid via uw eigen luidsprekers | Video en gesprekken werken binnen de sessie |
| Bestandssysteemomleiding | Stelt uw lokale schijven beschikbaar aan de externe sessie | Bestanden kopiëren vraagt geen extern hulpprogramma |
| Printeromleiding | Stelt uw lokale printer beschikbaar aan de externe sessie | Geen document exporteren alleen om het aan uw kant af te drukken |
| Poort Doorsturen | Ondersteunt serieel/COM-omleiding en geselecteerde USB-omleiding wanneer die is ingesteld | Compatibele randapparatuur kan op afstand beschikbaar blijven |
De GPU-regel komt met een voorbehoud dat het waard is te kennen. Het oude onderdeel RemoteFX vGPU is verdwenen. Microsoft noemt de RemoteFX 3D-videoadapter bij de verwijderde Windows Server-functies en verwijst in plaats daarvan naar Discrete Device Assignment. Dat onderdeel droeg ook een kwetsbaarheid voor uitvoering van code op afstand, CVE-2020-1036. Moderne Hyper-V-hosts kunnen GPU-resources beschikbaar stellen via Discrete Device Assignment of GPU-partitionering in plaats van RemoteFX vGPU. Daarom zijn opstellingen voor gamen op afstand zo kieskeurig over de hosthardware.
Of meerdere mensen tegelijk aangemeld kunnen zijn, is een eigenschap van de host, niet van het protocol. Eén Windows-bureaublad bedient doorgaans één interactieve sessie. Veel geïsoleerde sessies op één Windows Server hosten is het werk van Extern bureaublad-services, niet van gewoon RDP. In een normale RDS-uitrol op Windows Server heeft elke gebruiker of elk apparaat ook de bijbehorende RDS CALnodig. Controleer zowel het sessiemodel als de licenties voordat u een team een gedeelde machine belooft.
Waar RDP tekortkomt
RDP is een goed protocol met vier specifieke kosten. Drie daarvan moet u zelf beheersen. De vierde bepaalt of RDP wel het juiste gereedschap is.
Poort 3389 op het open internet
Zet RDP niet direct op het publieke internet. Een 3389 die naar internet openstaat is een gangbare route voor eerste toegang, en de geschiedenis is gedocumenteerd. CVE-2019-0708, bekend als BlueKeep, liet een niet-geauthenticeerde aanvaller code uitvoeren op een doelwit. Verbinden en vervalste verzoeken sturen was genoeg.
BlueKeep en DejaBlue werden beide in 2019 bekendgemaakt en gepatcht. Het blootstellingspatroon dat ze misbruikten is niet verdwenen. Inloggegevens raden tegen een open poort had van begin af aan geen kwetsbaarheid nodig.
De maatregelen zijn doodgewoon. Zet de host achter een VPN of een Extern bureaublad-gateway zodat de poort niet vanaf willekeurige adressen bereikbaar is. Beperk welke bronadressen mogen verbinden. Voeg meervoudige authenticatie toe op de toegangslaag waar uw opstelling dat ondersteunt, bijvoorbeeld met een RD Gateway-uitrol. Voer Windows-updates door in een tempo dat u kunt volhouden. Als de machine van overal bereikbaar moet zijn, hoort het begrenzen van mislukte aanmeldingen ook op die lijst.
De verbinding is de ervaring
Elk beeld dat u ziet, is over een netwerk gegaan. Op een stabiele lijn voelt RDP bijna lokaal. Op een overbelaste lijn of een met veel vertraging komt elke toetsaanslag te laat, en de vertraging telt op over een zin. Grote bestandsbewerkingen zijn erger dan het opnieuw opbouwen van het scherm. Mobiele netwerken versterken dit. RDP vanaf een Android-apparaat wint erbij als u de sessieresolutie verlaagt voordat u de server de schuld geeft.
De host betaalt de sessie
Het bureaublad renderen, het coderen en uw applicaties uitvoeren gebeurt allemaal op de host. Een machine die makkelijk een achtergronddienst draait, kan gaan zwoegen zodra iemand er interactief op werkt. Met elke extra sessie wordt het erger. Kies de omvang van de host op het werk dat u erin wilt doen, niet op het werk dat hij vandaag doet.
Windows op de host, bijna alles op de client
Dit is de grens die het gereedschap bepaalt. De clientkant is veel minder beperkt. De hostkant niet. Microsofts documentatie noemt de edities die een sessie kunnen hosten: Professional, Enterprise, Education en Windows Server. Home-edities kunnen het niet.
Dat is wat Microsofts ingebouwde RDP-hosting tot Windows beperkt. macOS levert niet standaard een RDP-host, dus een Mac besturen stuurt u naar een ander hulpmiddel voor toegang op afstand. Linux is de uitzondering die het waard is te kennen. De opensource-implementatie xrdp antwoordt op RDP-verbindingen zonder iets van Microsoft, en xRDP op Ubuntu is daarbij het gebruikelijke startpunt.
Wat hostingaanbieders met een RDP-server bedoelen
U koopt er een en de aanbieder geeft u de verbindingsgegevens: doorgaans een IP-adres, een gebruikersnaam en een wachtwoord. Er is geen fysieke kast en geen lokaal installatieprogramma. Afhankelijk van de aanbieder kunt u de Windows-versie kiezen tijdens de uitrol; de server zelf draait in een datacenter met Extern bureaublad aan voordat u verbindt.
In hostingaanbiedingen is dat product doorgaans een Windows-VPS met RDP ingeschakeld. De VPS draait zijn eigen Windows-omgeving op gedeelde fysieke infrastructuur, en u huurt de virtuele machine in plaats van de hardware te bezitten. De aanbieder configureert de protocolhelft voor, dus de host is aangezet, bereikbaar en actief voordat u de eerste keer verbindt.
De belangrijkste variabele tussen de pakketten is of de machine alleen van u is of gedeeld. Dat bepaalt wat u mag installeren, en wat er gebeurt als een buur het druk krijgt. Het is de grens tussen gedeelde en beheerders-RDP-pakketten.
Wat u krijgt met een gehoste RDP-server
De eerste sessie ziet er zo uit. Open Verbinding met extern bureaublad, plak het adres, voer dan de gebruikersnaam en het wachtwoord in die u kreeg. Er verschijnt een Windows-bureaublad. Vanaf dat punt gedraagt het zich als elke andere Windows-machine. U installeert software, browst, start applicaties en laat dingen doorlopen als u het venster sluit.
Waar u voor betaalt, is het deel eronder. De aanbieder bezit de hardware, het netwerk en de fysieke beveiliging. Die houdt de machine aan als uw eigen laptop dat niet is. Wees helder over waar de grens loopt. Bij een onbeheerd pakket blijft alles wat binnen Windows gebeurt bij u. Updates, gebruikersaccounts en firewallregels zijn uw werk. Een gehoste server haalt het hardwareprobleem van uw bureau; het patchprobleem haalt hij niet weg.
Twee andere eigenschappen doen in de praktijk mee. Resources zijn doorgaans elastisch, dus een te kleine machine kan meer CPU of geheugen krijgen zonder herbouw. En de locatie is een keuze die u eenmaal maakt en elke dag voelt, omdat de afstand de bodem legt onder hoe vlot de sessie kan zijn. Aanbieders verschillen op beide, en op hoeveel van de stack zij willen aanraken. Dat zijn de drie punten om af te wegen als u een RDP-aanbieder kiest.
Wie RDP-servers gebruikt
Deze vier situaties hebben hetzelfde nodig: een Windows-machine die aan blijft, bereikbaar blijft en niet in een tas meereist.
Externe en verspreide teams
Een gehost bureaublad geeft elk teamlid dezelfde hulpmiddelen en bestanden, wat voor hardware er ook voor staat. Het kan werkgegevens op een door het bedrijf beheerde machine houden in plaats van lokaal, mits het beleid voor klembord, schijven en andere omleidingen daarop is ingesteld.
Ontwikkel- en testomgevingen
Bouwen en testen vraagt hardware die het grootste deel van de tijd stilstaat. Die per maand huren voorkomt dat u hardware voor de piek koopt. Een testmachine die stukloopt kan herbouwd worden zonder dat iemand zijn werkplek verliest.
Trainings- en labomgevingen
Een identiek voorgeconfigureerd bureaublad, aan elke cursist gegeven, betekent dat iedereen vanaf dezelfde staat begint. Niemand besteedt de eerste sessie aan software installeren of het stuurprogrammaprobleem van één laptop oplossen.
Werk op contract en als freelancer
Een klant kan een opdrachtnemer een aparte werkomgeving geven zonder directe toegang tot een bedrijfswerkplek. Gegevens kunnen op de gehoste machine blijven als klembord, schijven en andere omleidingspaden beperkt zijn. Als het project eindigt, kan het account of de machine verwijderd worden.
RDP-alternatieven die het waard zijn te kennen
Twee van de drie alternatieven hieronder kunnen een Mac besturen. Dat is de as waarom deze categorie draait. De toets is niet welk hulpmiddel meer functies heeft, maar wat de doelmachine draait en of u die kunt bereiken.
| Tool | Ondersteunde doelplatforms | Hoe u erbij komt |
|---|---|---|
| Extern bureaublad-protocol | Windows | Het eigen adres van de host, standaard op TCP- of UDP-poort 3389 |
| Chrome Extern Bureaublad | Mac, Windows of Linux | Via de browser, met een pincode die bij het verbinden wordt ingevoerd |
| TeamViewer | Windows, macOS, Linux en ondersteunde Android-apparaten; alleen schermdeling op iOS/iPadOS en ChromeOS | TeamViewer-software op het externe apparaat; desktop- of webclient aan de kant die verbindt |
| UltraVNC | Windows | Een Windows-viewer, of een Java-viewer vanaf Linux, macOS en andere systemen |
Googles eigen documentatie behandelt het opzetten van Chrome Remote Desktop voor toegang op afstand tot een Mac-, Windows- of Linux-computer, precies het geval dat RDP niet kan bedienen. Het is hier de optie die het makkelijkst aan de praat komt. Het is ook de optie die de meeste infrastructuur van derden in het verbindingspad zet, en daar zitten de veiligheidsafwegingen ervan.
TeamViewer dekt hier het breedste platformbereik, maar de ondersteuning is niet op elk doel gelijk. De actuele ondersteuningsmatrix omvat Windows, macOS, Linux, Android, iOS/iPadOS en ChromeOS; iOS/iPadOS en ChromeOS zijn gevallen van schermdeling en niet van volledige besturing op afstand.
De VNC-familie is de naaste technische verwant, en in de praktijk de meest afwijkende. De eigen documentatie van UltraVNC beschrijft een server alleen voor Windows met een viewer op Java-basis voor andere platforms. Ze behandelt versleuteling ook als plug-in in plaats van als standaard, en dat is het belangrijkste om te weten voordat u het over een onvertrouwd netwerk gebruikt. Op een Windows-host komt de keuze tussen RDP en VNC daar doorgaans op neer.
Wanneer een Windows-machine huren het juiste antwoord is
De hostkant van RDP komt neer op een korte specificatie: een machine die aan en bereikbaar blijft, genoeg CPU en geheugen heeft voor interactief werk, en gepatcht wordt. Hebt u die machine al en kan die Extern bureaublad hosten, dan is er geen aparte RDP-dienst te kopen. Zet Extern bureaublad aan, maak de host bereikbaar en verbind met een client.
Hebt u die niet, dan is die specificatie precies wat een gehoste RDP-server vult. Bij Cloudzy worden onze Windows RDP-servers geleverd met Windows Server voorgeïnstalleerd en Extern bureaublad ingeschakeld, met een uptime-SLA van 99,95 %. Ze draaien in datacenters in Noord-Amerika, Europa, het Midden-Oosten en Azië-Pacific, zodat u de machine dicht bij de mensen kunt zetten die hem gebruiken. Er is een niet-goed-geld-teruggarantie van 14 dagen als de latentie slechter uitpakt dan u hoopte.
Veelgestelde vragen
Is RDP gratis?
Er is geen aparte kostenpost voor het RDP-protocol of voor de ingebouwde Windows-client. Als u al een ondersteunde host bezit of beheert, kunt u er verbinding mee maken zonder een "RDP"-product te kopen. Wat geld kost is de machine aan de andere kant. Een aanbieder die "een RDP" voor een maandprijs adverteert, verhuurt u een gehoste Windows-server, niet het protocol.
Kan ik RDP op een Mac of onder Linux gebruiken?
Verbinden kan vanaf beide. Microsoft levert Windows App en Extern bureaublad-clients voor macOS en diverse andere platforms; onder Linux hebt u een RDP-client van derden nodig. Hosten is de andere richting. Linux kan RDP beantwoorden via xrdp, terwijl macOS niet standaard een RDP-host levert.
Is het Extern bureaublad-protocol hetzelfde als een VPN?
Nee. RDP geeft u het scherm en het toetsenbord van één specifieke machine. Een VPN zet uw apparaat op een netwerk zodat u kunt bereiken wat daarop staat, maar het geeft u geen bureaublad. De twee worden vaak samen gebruikt: het VPN levert het private pad, en RDP laat de sessie daarover lopen.
Moet ik de standaard RDP-poort wijzigen?
Dat verlaagt de ruis, niet het risico. Ongerichte scans checken 3389 en gaan verder, dus een andere poort houdt dat verkeer uit uw logbestanden. Toegangsbeheer is het niet: een scan die op uw adres gericht is, vindt de dienst alsnog. Beschouw het als opruimen, nooit als vervanging van het beperken van toegang.
