Спросите, что такое RDP, и получите два ответа, оба верные. Первый — функция, которая поставляется внутри Windows со времён Windows NT. Второй — арендованная машина с Windows, продаваемая по месяцам, которую называют «RDP».
Если работодатель или клиент сказал вам «использовать RDP», он почти наверняка имел в виду первое. Скорее всего, оно у вас уже есть. Если вы нашли RDP на странице поставщика с ценой рядом, вы смотрели на второе.
RDP означает две разные вещи
RDP — это сокращение от Remote Desktop Protocol, протокола удалённого рабочего стола. Это протокол Microsoft для управления одним компьютером с другого по сети, и он встроен в Windows. Те же три буквы попадаются и на страницах продуктов у хостеров. В этом контексте «RDP-сервер» обычно означает размещённую машину с Windows, часто VPS, на которой удалённый рабочий стол уже включён. Вы добираетесь до неё по протоколу.
Итак: что такое RDP в вашем случае? Зависит от того, где вы увидели это слово. Инструкция по настройке обычно имеет в виду протокол; объявления хостингов часто означают арендованную машину с Windows и включённым RDP.
Microsoft разработала RDP в 1998 году. Впервые он появился вместе с первым выпуском Windows NT Terminal Server. На ПК с Windows клиентская часть уже установлена и уже оплачена. Она называется «Подключение к удалённому рабочему столу», и вы найдёте её, набрав это название в поле поиска меню «Пуск». Microsoft выпускает и более новые клиенты, включая Windows App. Они доступны на множестве разных типов устройств помимо Windows.
Если машина, до которой вам нужно добраться, уже существует и работает на выпуске, способном принимать удалённый рабочий стол, отдельный продукт RDP вам обычно не нужен. Это касается офисного ПК, сервера, который держит ваша команда, или VPS, который у вас уже есть. Включите доступ, сделайте хост достижимым, затем откройте клиент, введите адрес и войдите.
Как работает протокол удалённого рабочего стола
Три условия должны выполняться, прежде чем любое RDP-подключение сработает, и сбой почти всегда происходит из-за одного из них. Удалённый рабочий стол должен быть включён на хосте. Хост должен быть достижим оттуда, где вы сидите, то есть из той же офисной сети или через открытый путь в интернете. И у вас должна быть учётная запись или учётные данные, которые хост принимает, с правом входить удалённо. Ввод IP-адреса — лишь последнее из трёх.
При соблюдении этих условий сессия проходит в три этапа:
- Настройка. Администратор включает удалённый рабочий стол на машине-хосте и решает, кому можно подключаться. Именно на этом этапе защита RDP-хоста обходится дешевле всего, потому что ничего ещё не открыто.
- Подключение. Клиент отправляет адрес хоста и ваши учётные данные. Если их принимают, хост открывает сессию для вашей учётной записи. Шаги для подключения из Windows одинаковы, стоит ли хост рядом с вами или в другой стране.
- Обмен данными. Хост отправляет вам графику рабочего стола; ваш ввод с клавиатуры и мыши уходит обратно. Ваши приложения работают на хосте, а не на вашей собственной машине.
Под капотом RDP разделяет разные виды данных сессии по логическим виртуальным каналам, а затем мультиплексирует эти каналы поверх соединения. Обновления экрана, ввод, печать и перенаправление устройств можно обрабатывать и приоритизировать отдельно, даже если они по-прежнему делят один сетевой путь. Трафик сессии шифруется при передаче. Собственная документация по архитектуре у Microsoft относит компоненты, которые управляют этими каналами, к семейству T.120 ITU. T.122 определяет многоточечные службы; T.125 определяет протокол передачи данных.
Число, которое стоит запомнить, — 3389. Удалённый рабочий стол по умолчанию слушает порт 3389, причём и по TCP, и по UDP. Этот порт настраивается через реестр. UDP — более новый из двух. Он появился с обновлением RDP 8.0, которое позволяет администратору использовать и TCP, и UDP. Тогда сессии деградируют мягче в сетях с потерями. Когда кто-то просит вас «открыть файрвол для RDP», речь именно о 3389.
Что умеет RDP
При включённом перенаправлении принтера принтер на вашем столе может появиться внутри удалённой сессии так, будто он подключён там. Этот приём, называемый перенаправлением, и составляет большую часть того, что отличает RDP от простого средства просмотра экрана.
| Свойство | Что это даёт | Зачем это нужно |
|---|---|---|
| Аутентификация по смарт-карте | Принимает физические токены безопасности со встроенными чипами | Надёжнее, чем один пароль |
| Снижение потребления полосы пропускания | Кодирует и сжимает обновления рабочего стола вместо отправки сырого полноэкранного видео | Рабочие сессии на медленных соединениях |
| Поддержка нескольких мониторов | Управляет более чем одним монитором в одной сессии | Удалённый рабочий стол соответствует вашей физической конфигурации |
| Поддержка GPU | Может использовать ускорение GPU на хосте и аппаратное кодирование H.264/AVC там, где это поддерживается и включено | Приложения с тяжёлой графикой остаются пригодными для просмотра |
| Перенаправление звука | Воспроизводит удалённый звук через ваши локальные динамики | Видео и звонки работают внутри сессии |
| Перенаправление файловой системы | Открывает ваши локальные диски удалённой сессии | Копирование файлов не требует сторонних инструментов |
| Перенаправление принтера | Открывает ваш локальный принтер удалённой сессии | Не нужно выгружать документ только чтобы распечатать его у себя |
| Перенаправление портов | Поддерживает перенаправление последовательного порта/COM и выборочное перенаправление USB при соответствующей настройке | Совместимая периферия может оставаться доступной удалённо |
В строке про GPU есть оговорка, которую стоит знать. Старого компонента RemoteFX vGPU больше нет. Microsoft перечисляет видеоадаптер RemoteFX 3D среди удалённых функций Windows Server и указывает вместо него на Discrete Device Assignment. Этот компонент к тому же несёл уязвимость удалённого выполнения кода, CVE-2020-1036. Современные хосты Hyper-V могут предоставлять ресурсы GPU через Discrete Device Assignment или разделение GPU вместо RemoteFX vGPU. Именно поэтому сборки для удалённых игр так придирчивы к оборудованию хоста.
Могут ли несколько человек быть в системе одновременно — свойство хоста, а не протокола. Отдельный рабочий стол Windows обычно обслуживает одну интерактивную сессию. Размещать множество изолированных сессий на одном Windows Server — задача службы удалённых рабочих столов, а не чистого RDP. В обычном развёртывании RDS на Windows Server каждому пользователю или устройству нужна ещё и подходящая лицензия RDS CAL. Проверьте и модель сессий, и лицензирование, прежде чем обещать команде общую машину.
Где RDP не дотягивает
RDP — хороший протокол с четырьмя конкретными издержками. Три из них вам придётся держать под контролем самому. Четвёртая решает, подходит ли RDP вообще.
Порт 3389 в открытом интернете
Не выставляйте RDP прямо в публичный интернет. Открытый в интернет 3389 — стандартный вектор первичного доступа, и история задокументирована. CVE-2019-0708, известная как BlueKeep, позволяла неаутентифицированному атакующему выполнить код на цели. Достаточно было подключиться и отправить специально сформированные запросы.
BlueKeep и DejaBlue были раскрыты и исправлены в 2019 году. Схема экспозиции, которой они пользовались, никуда не исчезла. Подбору учётных данных против открытого порта уязвимость не требовалась изначально.
Меры защиты вполне обычные. Поставьте хост за VPN или шлюз удалённых рабочих столов, чтобы порт не был достижим с произвольных адресов. Ограничьте, каким исходным адресам разрешено подключаться. Добавьте многофакторную аутентификацию на уровне доступа там, где это поддерживает ваша конфигурация, например через развёртывание RD Gateway. Устанавливайте обновления Windows в темпе, который вы способны выдержать. Если машина обязана быть достижимой откуда угодно, ограничение частоты неудачных входов тоже относится к этому списку.
Соединение и есть впечатление
Каждый кадр, который вы видите, прошёл через сеть. На стабильном канале RDP ощущается почти как локальная работа. На загруженном или с высокой задержкой каждое нажатие приходит с опозданием, и задержка накапливается на протяжении фразы. Крупные операции с файлами хуже, чем перерисовка экрана. Мобильные сети это усиливают. RDP с устройства Android выигрывает от снижения разрешения сессии, прежде чем винить сервер.
За сессию платит хост
Отрисовка рабочего стола, его кодирование и запуск ваших приложений происходят на хосте. Машина, которой комфортно держать фоновую службу, может начать буксовать, стоит кому-то поработать на ней интерактивно. С каждой дополнительной сессией становится хуже. Подбирайте размер хоста под работу, которую вы собираетесь на нём делать, а не под работу, которую он выполняет сегодня.
Windows на хосте, почти что угодно на клиенте
Это та граница, которая решает выбор инструмента. Клиентская сторона ограничена гораздо меньше. Серверная — нет. Документация Microsoft называет выпуски, которые могут принимать сессию: Professional, Enterprise, Education и Windows Server. Домашние выпуски не могут.
Именно это ограничивает встроенный RDP-хостинг Microsoft системой Windows. macOS не предоставляет RDP-хост нативно, поэтому управление Mac отправляет вас к другому инструменту удалённого доступа. Linux — исключение, о котором стоит знать. Реализация с открытым кодом xrdp отвечает на RDP-подключения без чего-либо от Microsoft, и xRDP на Ubuntu — обычная отправная точка.
Что хостеры называют RDP-сервером
Вы покупаете его, и поставщик выдаёт вам данные подключения: обычно IP-адрес, имя пользователя и пароль. Никакой физической коробки и локального установщика нет. В зависимости от поставщика вы можете выбрать версию Windows при развёртывании; сам сервер работает в дата-центре с включённым удалённым рабочим столом ещё до вашего подключения.
В объявлениях хостингов этот продукт обычно представляет собой VPS с Windows и включённым RDP. VPS запускает собственное окружение Windows на общей физической инфраструктуре, и вы арендуете виртуальную машину, а не владеете оборудованием. Поставщик заранее настраивает протокольную половину, так что хост включён, достижим и работает до вашего первого подключения.
Главная переменная между тарифами — принадлежит ли машина только вам или разделяется. От этого зависит, что вам можно установить и что происходит, когда сосед начинает нагружать систему. Это граница между общими и администраторскими тарифами RDP.
Что вы получаете с размещённым RDP-сервером
Первая сессия выглядит так. Открываете «Подключение к удалённому рабочему столу», вставляете адрес, затем вводите присланные вам имя пользователя и пароль. Появляется рабочий стол Windows. С этого момента он ведёт себя как любая другая машина с Windows. Вы ставите программы, работаете в браузере, запускаете приложения и оставляете всё работать, закрывая окно.
Вы платите за то, что находится под этим. Поставщик владеет оборудованием, сетью и физической безопасностью. Он держит машину включённой, когда ваш собственный ноутбук выключен. Определитесь, где проходит граница. На неуправляемом тарифе всё, что происходит внутри Windows, остаётся на вас. Обновления, учётные записи и правила файрвола — ваша работа. Размещённый сервер убирает проблему оборудования с вашего стола; проблему установки исправлений он не убирает.
Ещё два свойства важны на практике. Ресурсы обычно эластичны, поэтому недостаточно мощной машине можно добавить CPU или памяти без пересборки. А расположение — это выбор, который вы делаете один раз и ощущаете каждый день, потому что расстояние задаёт нижнюю границу отзывчивости сессии. Поставщики различаются и в том, и в другом, а также в том, какую часть стека они готовы трогать. Это те три пункта, которые стоит взвесить, когда вы выбираете поставщика RDP.
Кто пользуется RDP-серверами
Этим четырём ситуациям нужно одно и то же: машина с Windows, которая остаётся включённой, остаётся достижимой и не путешествует в сумке.
Удалённые и распределённые команды
Размещённый рабочий стол даёт каждому участнику команды одни и те же инструменты и файлы, какое бы оборудование ни стояло перед ним. Он может держать рабочие данные на машине, подконтрольной компании, вместо локального хранения — при условии, что политики буфера обмена, дисков и других перенаправлений настроены соответствующим образом.
Среды разработки и тестирования
Сборка и тестирование требуют оборудования, которое большую часть времени простаивает. Аренда по месяцам избавляет от покупки оборудования под пик. Испорченную тестовую машину можно пересобрать, и никто не потеряет своё рабочее место.
Учебные и лабораторные среды
Одинаковый предварительно настроенный рабочий стол, выданный каждому учащемуся, означает, что все начинают с одного состояния. Никто не тратит первое занятие на установку программ или отладку проблемы с драйвером на одном ноутбуке.
Подрядная и фриланс-работа
Клиент может выдать подрядчику отдельную рабочую среду, не давая прямого доступа к рабочему месту компании. Данные могут оставаться на размещённой машине, если буфер обмена, диски и другие пути перенаправления ограничены. Когда проект заканчивается, учётную запись или машину можно удалить.
Альтернативы RDP, о которых стоит знать
Две из трёх альтернатив ниже могут управлять Mac. Это и есть ось, вокруг которой вращается вся категория. Проверка не в том, у какого инструмента больше функций, а в том, что работает на целевой машине и сможете ли вы до неё добраться.
| Инструмент | Поддерживаемые целевые платформы | Как вы до него добираетесь |
|---|---|---|
| Протокол удаленного рабочего стола | Windows | Собственный адрес хоста, по умолчанию порт 3389 по TCP или UDP |
| Удалённый рабочий стол Chrome | Mac, Windows или Linux | Через браузер, с вводом PIN-кода в момент подключения |
| TeamViewer | Windows, macOS, Linux и поддерживаемые устройства Android; на iOS/iPadOS и ChromeOS только демонстрация экрана | Программа TeamViewer на удалённом устройстве; настольный или веб-клиент на подключающейся стороне |
| UltraVNC | Windows | Средство просмотра для Windows либо Java-клиент из Linux, macOS и других систем |
Собственная документация Google описывает настройку Chrome Remote Desktop для удалённого доступа к компьютеру Mac, Windows или Linux, то есть именно к тому случаю, который RDP закрыть не может. Здесь это самый простой в запуске вариант. Он же кладёт больше всего сторонней инфраструктуры на путь соединения, и именно там лежат его компромиссы в безопасности.
TeamViewer охватывает здесь самый широкий набор платформ, но поддержка не одинакова на каждой цели. Его актуальная матрица поддержки включает Windows, macOS, Linux, Android, iOS/iPadOS и ChromeOS; iOS/iPadOS и ChromeOS относятся скорее к демонстрации экрана, чем к полноценному удалённому управлению.
Семейство VNC — ближайший технический родственник и самый непохожий на практике. Собственная документация UltraVNC описывает сервер только для Windows и средство просмотра на Java для остальных платформ. Шифрование в ней при этом трактуется как подключаемый модуль, а не как поведение по умолчанию, и это самое важное, что нужно знать перед работой через недоверенную сеть. На хосте с Windows выбор между RDP и VNC обычно сводится именно к этому.
Когда арендовать машину с Windows — правильный ответ
Серверная сторона RDP сводится к короткому требованию: машина, которая остаётся включённой и достижимой, имеет достаточно CPU и памяти для интерактивной работы и получает обновления. Если такая машина у вас уже есть и она может принимать удалённый рабочий стол, отдельную услугу RDP покупать не нужно. Включите удалённый рабочий стол, сделайте хост достижимым и подключитесь клиентом.
Если её нет, именно это требование и закрывает размещённый RDP-сервер. В Cloudzy наши серверы Windows RDP поставляются с предустановленным Windows Server и включённым удалённым рабочим столом, с SLA доступности 99,95 %. Они работают в дата-центрах в Северной Америке, Европе, на Ближнем Востоке и в Азиатско-Тихоокеанском регионе, так что машину можно поставить рядом с теми, кто ею пользуется. Есть 14-дневная гарантия возврата денег, если задержка окажется хуже, чем вы надеялись.
Часто задаваемые вопросы
RDP бесплатен?
Отдельной платы за протокол RDP или за встроенный клиент Windows нет. Если вы уже владеете поддерживаемым хостом или обслуживаете его, вы можете подключиться к нему, не покупая продукт под названием «RDP». Денег стоит машина на другом конце. Поставщик, который рекламирует «RDP» за месячную цену, сдаёт вам размещённый сервер Windows, а не протокол.
Можно ли использовать RDP на Mac или Linux?
Подключаться можно с обоих. Microsoft предоставляет Windows App и клиенты удалённого рабочего стола для macOS и ряда других платформ; на Linux вам понадобится сторонний RDP-клиент. Размещение — это обратное направление. Linux может отвечать на RDP через xrdp, тогда как macOS не предоставляет RDP-хост нативно.
Протокол удалённого рабочего стола — то же самое, что VPN?
Нет. RDP даёт вам экран и клавиатуру одной конкретной машины. VPN помещает ваше устройство в сеть, чтобы вы могли добраться до того, что в ней есть, но рабочего стола он вам не выдаёт. Их часто используют вместе: VPN обеспечивает приватный путь, а RDP гоняет сессию поверх него.
Стоит ли менять стандартный порт RDP?
Это снижает шум, а не риск. Нецелевое сканирование проверяет 3389 и идёт дальше, поэтому другой порт держит этот трафик вне ваших журналов. Контролем доступа это не является: сканирование, направленное на ваш адрес, всё равно найдёт службу. Считайте это уборкой, но никогда — заменой ограничению доступа.
