Hỏi RDP là gì và bạn nhận được hai câu trả lời, cả hai đều đúng. Một là tính năng đã nằm sẵn trong Windows từ thời Windows NT. Cái còn lại là một máy Windows đi thuê, bán theo tháng, mà người ta gọi là "một con RDP".
Nếu một người sử dụng lao động hay một khách hàng nói bạn "dùng RDP", gần như chắc chắn họ nói tới cái thứ nhất. Bạn có lẽ đã có nó rồi. Nếu bạn thấy RDP trên trang của một nhà cung cấp kèm giá bên cạnh, bạn đang xem cái thứ hai.
RDP mang hai nghĩa khác nhau
RDP là viết tắt của Remote Desktop Protocol, Giao thức Máy tính để bàn Từ xa. Đó là giao thức của Microsoft để điều khiển một máy tính từ một máy khác qua mạng, và nó có sẵn trong Windows. Ba chữ cái đó cũng xuất hiện trên trang sản phẩm của các nhà cung cấp hosting. Trong ngữ cảnh ấy, "máy chủ RDP" thường nghĩa là một máy Windows được hosting, thường là một VPS, đã bật Máy tính để bàn Từ xa. Bạn tới được nó bằng giao thức.
Vậy: RDP là gì trong trường hợp của bạn? Tùy vào nơi bạn thấy từ đó. Hướng dẫn cài đặt thường nói về giao thức; danh sách hosting thường nói về một máy Windows đi thuê đã bật RDP.
Microsoft phát triển RDP năm 1998. Nó xuất hiện lần đầu cùng với bản phát hành đầu tiên của Windows NT Terminal Server. Trên một PC Windows, phía máy khách đã được cài sẵn và đã được trả tiền. Nó tên là Kết nối Máy tính để bàn Từ xa, và bạn tìm thấy nó bằng cách gõ tên đó vào hộp tìm kiếm của menu Start. Microsoft cũng phát hành các máy khách mới hơn, gồm cả Windows App. Chúng có mặt trên nhiều loại thiết bị khác nhau ngoài Windows.
Nếu cái máy bạn cần tới đã tồn tại và đang chạy một phiên bản có thể làm máy chủ cho Máy tính để bàn Từ xa, bạn thường không cần một sản phẩm RDP riêng. Điều đó bao gồm một PC ở công ty, một máy chủ do nhóm bạn vận hành, hay một VPS bạn đã có. Hãy bật quyền truy cập, làm cho máy chủ tới được, rồi mở máy khách, nhập địa chỉ và đăng nhập.
Giao thức Máy tính để bàn Từ xa hoạt động thế nào
Ba điều kiện phải đúng trước khi bất kỳ kết nối RDP nào thành công, và một lỗi hầu như luôn nằm ở một trong số đó. Máy tính để bàn Từ xa phải được bật trên máy chủ. Máy chủ phải tới được từ nơi bạn đang ngồi, nghĩa là cùng mạng công ty hoặc một đường mở qua internet. Và bạn phải có tài khoản hay thông tin đăng nhập mà máy chủ chấp nhận, kèm quyền đăng nhập từ xa. Nhập một địa chỉ IP chỉ là điều cuối cùng trong ba điều đó.
Khi đã có những thứ đó, một phiên diễn ra qua ba chặng:
- Thiết lập. Một người quản trị bật Máy tính để bàn Từ xa trên máy chủ và quyết định ai được kết nối. Đây là lúc bảo vệ một máy chủ RDP rẻ nhất, vì chưa có gì bị phơi ra.
- Kết nối. Máy khách gửi địa chỉ máy chủ và thông tin đăng nhập của bạn. Nếu được chấp nhận, máy chủ mở một phiên cho tài khoản của bạn. Các bước để kết nối từ Windows vẫn như nhau, dù máy chủ ở ngay bên cạnh bạn hay ở một nước khác.
- Truyền thông. Máy chủ gửi hình ảnh desktop cho bạn; thao tác bàn phím và chuột của bạn đi ngược lại. Ứng dụng của bạn chạy trên máy chủ, không phải trên máy của bạn.
Bên dưới, RDP tách các loại dữ liệu phiên khác nhau thành những kênh ảo lô-gic, rồi ghép các kênh đó lên cùng một kết nối. Cập nhật màn hình, thao tác nhập, in ấn và chuyển tiếp thiết bị có thể được xử lý và ưu tiên riêng dù vẫn dùng chung một đường mạng. Lưu lượng phiên được mã hóa khi truyền. Chính tài liệu kiến trúc của Microsoft đặt những thành phần quản lý các kênh đó vào họ T.120 của ITU. T.122 định nghĩa các dịch vụ đa điểm; T.125 định nghĩa giao thức truyền dữ liệu.
Con số cần nhớ là 3389. Máy tính để bàn Từ xa mặc định lắng nghe trên cổng 3389, trên cả TCP và UDP. Cổng đó có thể đổi qua registry. UDP là cái mới hơn trong hai. Nó đến cùng bản cập nhật RDP 8.0, cho phép người quản trị dùng cả TCP và UDP. Khi đó các phiên suy giảm mượt hơn trên mạng hay mất gói. Khi ai đó bảo bạn "mở firewall cho RDP", 3389 là điều họ muốn nói.
RDP làm được những gì
Với chuyển tiếp máy in được bật, cái máy in trên bàn bạn có thể xuất hiện trong phiên từ xa như thể nó được cắm ở đó. Cái mẹo ấy, gọi là chuyển tiếp, chiếm phần lớn những gì tách RDP khỏi một trình xem màn hình đơn thuần.
| Thuộc tính | Nó làm gì | Tại sao nó quan trọng |
|---|---|---|
| Xác Thực Thẻ Thông Minh | Nhận token bảo mật vật lý có chip tích hợp | Mạnh hơn một mật khẩu đơn thuần |
| Giảm Băng thông | Mã hóa và nén các bản cập nhật desktop thay vì gửi video toàn màn hình thô | Phiên vẫn dùng được trên đường truyền chậm |
| Sử Dụng Nhiều Màn Hình | Điều khiển nhiều hơn một màn hình trong một phiên | Desktop từ xa khớp với cách bạn bố trí màn hình thật |
| Hỗ trợ GPU | Có thể dùng tăng tốc GPU của máy chủ và mã hóa H.264/AVC bằng phần cứng khi được hỗ trợ và bật lên | Ứng dụng nặng đồ họa vẫn xem được |
| Chuyển hướng âm thanh | Phát âm thanh từ xa qua loa tại chỗ của bạn | Video và cuộc gọi hoạt động trong phiên |
| Chuyển hướng Hệ thống Tệp | Mở các ổ đĩa cục bộ của bạn cho phiên từ xa | Chép tệp không cần công cụ của bên thứ ba |
| Chuyển hướng máy in | Mở máy in cục bộ của bạn cho phiên từ xa | Không phải xuất một tài liệu chỉ để in nó ở đầu bạn |
| Chuyển hướng Cổng | Hỗ trợ chuyển tiếp cổng nối tiếp/COM và một số chuyển tiếp USB chọn lọc khi được cấu hình | Thiết bị ngoại vi tương thích có thể vẫn dùng được từ xa |
Dòng về GPU mang một lưu ý đáng biết. Thành phần RemoteFX vGPU cũ đã không còn. Microsoft liệt kê bộ chuyển đổi video 3D RemoteFX trong số các tính năng đã bị loại khỏi Windows Server và chỉ sang Discrete Device Assignment thay thế. Thành phần đó còn mang một lỗ hổng thực thi mã từ xa, CVE-2020-1036. Các máy chủ Hyper-V hiện đại có thể cấp tài nguyên GPU qua Discrete Device Assignment hoặc phân vùng GPU thay cho RemoteFX vGPU. Đó là lý do các cấu hình chơi game từ xa khó tính đến vậy về phần cứng máy chủ.
Việc nhiều người có thể đăng nhập cùng lúc hay không là thuộc tính của máy chủ, không phải của giao thức. Một desktop Windows đơn lẻ thường phục vụ một phiên tương tác. Chứa nhiều phiên tách biệt trên một Windows Server là việc của Remote Desktop Services, không phải của RDP thuần. Trong một triển khai RDS bình thường trên Windows Server, mỗi người dùng hay thiết bị còn cần giấy phép RDS CALphù hợp. Hãy kiểm tra cả mô hình phiên lẫn giấy phép trước khi hứa với một nhóm về một máy dùng chung.
Chỗ RDP còn thiếu
RDP là một giao thức tốt với bốn cái giá cụ thể. Ba trong số đó là việc bạn phải tự quản. Cái thứ tư quyết định RDP có phải công cụ đúng hay không.
Cổng 3389 trên internet mở
Đừng đặt RDP thẳng ra internet công cộng. Một cổng 3389 hướng ra internet là một hướng truy cập ban đầu quen thuộc, và lịch sử đã được ghi lại. CVE-2019-0708, được biết đến với tên BlueKeep, cho phép một kẻ tấn công chưa xác thực thực thi mã trên máy mục tiêu. Chỉ cần kết nối và gửi các yêu cầu dựng riêng là đủ.
BlueKeep và DejaBlue đều được công bố và vá trong năm 2019. Kiểu phơi lộ mà chúng khai thác thì chưa đi đâu cả. Việc đoán thông tin đăng nhập nhắm vào một cổng mở ngay từ đầu chưa từng cần đến lỗ hổng nào.
Các biện pháp giảm nhẹ đều bình thường. Hãy đặt máy chủ sau một VPN hoặc một Remote Desktop Gateway để cổng không tới được từ những địa chỉ bất kỳ. Hạn chế những địa chỉ nguồn nào được phép kết nối. Thêm xác thực đa yếu tố ở tầng truy cập nơi thiết lập của bạn hỗ trợ, ví dụ một triển khai RD Gateway. Áp các bản cập nhật Windows theo nhịp bạn giữ được. Nếu cái máy buộc phải tới được từ bất cứ đâu, giới hạn tần suất đăng nhập thất bại cũng thuộc danh sách đó.
Kết nối chính là trải nghiệm
Mỗi khung hình bạn thấy đều đã băng qua một mạng. Trên đường truyền ổn định, RDP cho cảm giác gần như cục bộ. Trên một đường tắc nghẽn hay có độ trễ cao, mỗi lần gõ đến muộn, và độ trễ cộng dồn suốt một câu. Các tác vụ với tệp lớn còn tệ hơn việc vẽ lại màn hình. Mạng di động khuếch đại chuyện này. RDP từ một thiết bị Android được lợi khi bạn hạ độ phân giải phiên trước khi đổ lỗi cho máy chủ.
Máy chủ là bên trả giá cho phiên
Dựng desktop, mã hóa nó và chạy ứng dụng của bạn đều diễn ra trên máy chủ. Một máy vốn thoải mái khi chạy một dịch vụ nền có thể vất vả ngay khi có người làm việc tương tác trên đó. Càng thêm phiên thì càng tệ. Hãy chọn kích cỡ máy chủ theo công việc bạn định làm bên trong nó, không theo công việc nó đang làm hôm nay.
Windows ở máy chủ, gần như bất cứ gì ở máy khách
Đây là cái ranh quyết định công cụ. Phía máy khách bị bó buộc ít hơn nhiều. Phía máy chủ thì không. Tài liệu của Microsoft nêu tên các phiên bản có thể làm máy chủ cho một phiên: Professional, Enterprise, Education và Windows Server. Các phiên bản Home thì không thể.
Đó là điều giới hạn phần hosting RDP sẵn có của Microsoft chỉ trong Windows. macOS không cung cấp sẵn một máy chủ RDP, nên điều khiển một máy Mac đưa bạn sang một công cụ truy cập từ xa khác. Linux là ngoại lệ đáng biết. Bản triển khai nguồn mở xrdp trả lời các kết nối RDP mà không cần gì từ Microsoft, và xRDP trên Ubuntu là điểm khởi đầu thường thấy.
Nhà cung cấp hosting hiểu "máy chủ RDP" là gì
Bạn mua một cái và nhà cung cấp đưa bạn thông tin kết nối: thường là một địa chỉ IP, một tên đăng nhập và một mật khẩu. Không có hộp thiết bị vật lý nào, cũng không có trình cài đặt tại chỗ. Tùy nhà cung cấp, bạn có thể chọn phiên bản Windows lúc khởi tạo; bản thân máy chủ chạy trong một trung tâm dữ liệu với Máy tính để bàn Từ xa đã bật trước khi bạn kết nối.
Trong các danh sách hosting, sản phẩm đó thường là một VPS Windows đã bật RDP. VPS chạy môi trường Windows riêng của nó trên hạ tầng vật lý dùng chung, và bạn thuê máy ảo chứ không sở hữu phần cứng. Nhà cung cấp cấu hình trước nửa phần giao thức, nên máy chủ đã bật, tới được và đang chạy trước khi bạn kết nối lần đầu.
Biến số chính giữa các gói là máy đó chỉ của bạn hay dùng chung. Điều đó quyết định bạn được cài gì, và chuyện gì xảy ra khi một người bên cạnh bận rộn. Đó là ranh giới giữa các gói RDP dùng chung và gói quản trị.
Bạn nhận được gì với một máy chủ RDP được hosting
Phiên đầu tiên trông như thế này. Mở Kết nối Máy tính để bàn Từ xa, dán địa chỉ vào, rồi nhập tên đăng nhập và mật khẩu bạn được gửi. Một desktop Windows hiện ra. Từ lúc đó nó hoạt động như bất kỳ máy Windows nào khác. Bạn cài phần mềm, lướt web, chạy ứng dụng và để mọi thứ tiếp tục chạy khi bạn đóng cửa sổ.
Điều bạn đang trả tiền cho là phần bên dưới. Nhà cung cấp sở hữu phần cứng, mạng và an ninh vật lý. Họ giữ cho máy luôn bật khi laptop của bạn thì không. Hãy rõ ràng về chỗ ranh giới nằm ở đâu. Với gói không quản trị, những gì xảy ra bên trong Windows vẫn là việc của bạn. Cập nhật, tài khoản người dùng và luật firewall là việc của bạn. Một máy chủ được hosting đưa bài toán phần cứng ra khỏi bàn bạn; nó không đưa bài toán vá lỗi đi đâu cả.
Hai thuộc tính khác cũng quan trọng trong thực tế. Tài nguyên thường đàn hồi, nên một máy bị thiếu sức có thể được thêm CPU hay bộ nhớ mà không cần dựng lại. Và vị trí là một lựa chọn bạn làm một lần rồi cảm nhận mỗi ngày, bởi khoảng cách đặt ra mức sàn cho độ nhạy của phiên. Các nhà cung cấp khác nhau ở cả hai điểm, và ở việc họ chịu can thiệp bao nhiêu phần của hệ thống. Đó là ba điểm đáng cân nhắc khi bạn chọn một nhà cung cấp RDP.
Ai dùng máy chủ RDP
Bốn tình huống này cần cùng một thứ: một máy Windows luôn bật, luôn tới được, và không đi lại trong một cái túi.
Nhóm làm việc từ xa và phân tán
Một desktop được hosting cho mọi thành viên trong nhóm cùng bộ công cụ và cùng tệp, bất kể phần cứng trước mặt họ là gì. Nó có thể giữ dữ liệu công việc trên một máy do công ty kiểm soát thay vì lưu tại chỗ, miễn là các chính sách về clipboard, ổ đĩa và các chuyển tiếp khác được cấu hình tương ứng.
Môi trường phát triển và kiểm thử
Biên dịch và kiểm thử cần phần cứng phần lớn thời gian nằm không. Thuê nó theo tháng giúp không phải mua phần cứng cho lúc cao điểm. Một máy kiểm thử bị hỏng có thể dựng lại mà không ai mất máy làm việc.
Môi trường đào tạo và phòng lab
Một desktop cấu hình sẵn giống nhau, giao cho từng học viên, khiến mọi học viên bắt đầu từ cùng một trạng thái. Không ai mất buổi đầu để cài phần mềm hay gỡ lỗi trình điều khiển của một cái laptop.
Việc theo hợp đồng và làm tự do
Một khách hàng có thể giao cho người làm thuê một môi trường làm việc riêng mà không cho họ truy cập trực tiếp vào máy trong công ty. Dữ liệu có thể ở lại trên máy được hosting nếu clipboard, ổ đĩa và các đường chuyển tiếp khác bị hạn chế. Khi dự án kết thúc, tài khoản hay cái máy có thể bị bỏ đi.
Những lựa chọn thay RDP đáng biết
Hai trong ba lựa chọn dưới đây có thể điều khiển một máy Mac. Đó là cái trục mà cả nhóm này quay quanh. Phép thử không phải là công cụ nào có nhiều tính năng hơn, mà là máy mục tiêu chạy gì và bạn có tới được nó hay không.
| Công cụ | Các nền tảng mục tiêu được hỗ trợ | Cách bạn tới được nó |
|---|---|---|
| Giao thức Máy tính để bàn Từ xa | Windows | Địa chỉ riêng của máy chủ, mặc định trên cổng 3389 TCP hoặc UDP |
| Chrome Remote Desktop | Mac, Windows hoặc Linux | Qua trình duyệt, với một mã PIN nhập lúc kết nối |
| TeamViewer | Windows, macOS, Linux và các thiết bị Android được hỗ trợ; chỉ chia sẻ màn hình trên iOS/iPadOS và ChromeOS | Phần mềm TeamViewer trên thiết bị ở xa; máy khách desktop hoặc web ở phía kết nối |
| UltraVNC | Windows | Một trình xem cho Windows, hoặc một trình xem Java từ Linux, macOS và các hệ khác |
Chính tài liệu của Google có nói về việc thiết lập Chrome Remote Desktop để truy cập từ xa vào một máy tính Mac, Windows hay Linux, đúng là cái trường hợp mà RDP không thể phục vụ. Đây là lựa chọn dễ chạy nhất trong nhóm này. Nó cũng là cái đặt nhiều hạ tầng của bên thứ ba nhất vào đường kết nối, và đó là nơi những đánh đổi về bảo mật của nó nằm.
TeamViewer bao trùm dải nền tảng rộng nhất ở đây, nhưng mức hỗ trợ không giống nhau trên mọi mục tiêu. bảng hỗ trợ hiện tại của nó gồm Windows, macOS, Linux, Android, iOS/iPadOS và ChromeOS; iOS/iPadOS và ChromeOS là các trường hợp chia sẻ màn hình chứ không phải điều khiển từ xa hoàn toàn.
Họ VNC là người thân về kỹ thuật gần nhất, và khác biệt nhất trong thực tế. Chính tài liệu của UltraVNC nêu một máy chủ chỉ dành cho Windows với một trình xem dựa trên Java cho các nền tảng khác. Nó cũng coi mã hóa là một plugin chứ không phải mặc định, và đó là điều quan trọng nhất cần biết trước khi chạy nó qua một mạng không đáng tin. Trên một máy chủ Windows, lựa chọn giữa RDP và VNC thường rút về đúng chuyện đó.
Khi nào thuê một máy Windows là câu trả lời đúng
Phía máy chủ của RDP rút lại thành một bản yêu cầu ngắn: một máy luôn bật và tới được, có đủ CPU và bộ nhớ cho công việc tương tác, và được vá lỗi. Nếu bạn đã có cái máy đó và nó có thể làm máy chủ cho Máy tính để bàn Từ xa, không có dịch vụ RDP riêng nào phải mua. Hãy bật Máy tính để bàn Từ xa, làm cho máy chủ tới được, và kết nối bằng một máy khách.
Nếu bạn chưa có, bản yêu cầu đó chính là điều mà một máy chủ RDP được hosting lấp vào. Tại Cloudzy, máy chủ RDP Windows của chúng tôi đi kèm Windows Server cài sẵn và Máy tính để bàn Từ xa đã bật, với SLA thời gian hoạt động 99,95 %. Chúng chạy trong các trung tâm dữ liệu ở Bắc Mỹ, châu Âu, Trung Đông và châu Á - Thái Bình Dương, nên bạn có thể đặt máy gần những người dùng nó. Có bảo đảm hoàn tiền trong 14 ngày nếu độ trễ tệ hơn bạn mong.
Câu hỏi thường gặp
RDP có miễn phí không?
Không có khoản phí riêng nào cho giao thức RDP hay cho máy khách Windows có sẵn. Nếu bạn đã sở hữu hoặc đang vận hành một máy chủ được hỗ trợ, bạn có thể kết nối tới nó mà không cần mua sản phẩm "RDP" nào. Cái tốn tiền là cái máy ở đầu bên kia. Một nhà cung cấp quảng cáo "một con RDP" với giá theo tháng đang cho bạn thuê một máy chủ Windows được hosting, không phải giao thức.
Tôi có dùng được RDP trên Mac hay Linux không?
Bạn kết nối được từ cả hai. Microsoft cung cấp Windows App và các máy khách Máy tính để bàn Từ xa cho macOS và vài nền tảng khác; trên Linux, bạn cần một máy khách RDP của bên thứ ba. Làm máy chủ thì là chiều ngược lại. Linux có thể trả lời RDP qua xrdp, còn macOS không cung cấp sẵn một máy chủ RDP.
Giao thức Máy tính để bàn Từ xa có giống VPN không?
Không. RDP cho bạn màn hình và bàn phím của một máy cụ thể. VPN đặt thiết bị của bạn vào một mạng để bạn tới được những gì trong đó, nhưng nó không trao cho bạn desktop nào. Hai thứ thường được dùng cùng nhau: VPN cung cấp đường riêng, còn RDP chạy phiên trên đó.
Tôi có nên đổi cổng RDP mặc định không?
Việc đó giảm tiếng ồn, không giảm rủi ro. Quét không nhắm đích kiểm tra 3389 rồi đi tiếp, nên một cổng khác giữ luồng đó ra khỏi log của bạn. Đó không phải kiểm soát truy cập: một lần quét nhắm vào địa chỉ của bạn vẫn sẽ tìm ra dịch vụ. Hãy coi nó là dọn dẹp, đừng bao giờ coi là thay thế cho việc hạn chế truy cập.
