Дистанційні підключення до серверів для управління і адміністрування - основна вимога кожного системного адміністратора. В інтерфейсі Windows як і раніше переважають графічні елементи, тому адміністраторам необхідні програми дистанційного керування, що забезпечують доступ до всього інтерфейсу Windows. За останні кілька років засіб підключення до віддаленого робочого столу (RDC) стало стандартом де-факто для дистанційного керування комп'ютерами Windows. Це сталося з трьох причин: хороша продуктивність; приєднувати кілька користувачів до комп'ютера; наявність безкоштовного продукту в складі всіх версій Windows, починаючи з Windows 2000.

Remote Desktop Connection 6.0, новітня версія безкоштовного клієнта віддаленого доступу до робочого столу компанії Microsoft, поставляється разом з Windows Vista. Можна завантажити продукт для Windows Server 2003 і Windows XP. Компанія Microsoft успішно впоралася із завданням забезпечення сумісності, тому за допомогою нового клієнта можна підключатися до комп'ютерів Windows Server 2003, Windows XP і Windows 2000. Готуючись до випуску Windows Vista і Longhorn, розробники Microsoft доповнили продукт багатьма функціями, але є й інші корисні нововведення. Деякі з них спрямовані на підвищення рівня безпеки та продуктивності RDC.

Remote Desktop Connection 6.0 для XP і Windows 2003 можна завантажити з центру завантаження Microsoft Download Center. Додаткові відомості про умови завантаження наведені в статті Microsoft «Remote Desktop Connection 6.0 client update is available for download in the Microsoft Download Center», http://support.microsoft.com/kb/925876 . Завантажується тільки клієнтська програма, яка встановлюється на комп'ютері, до якого належить підключитися, щоб управляти іншими комп'ютерами. На керованих пристроях не потрібно встановлювати ніяких програм. Щоб швидко запустити програму після установки, потрібно клацнути на кнопці Start і ввести команду mstsc в рядку Run. Інший спосіб - послідовно вибрати Start, Programs, Accessories, Communications, Remote Desktop Connection.

Запускаючи програму з командного рядка, можна скористатися корисними параметрами. Наприклад, введіть

mstsc / console / span

щоб встановити з'єднання з консоллю (при цьому відкривається такий же сеанс інтерактивного входу, як при використанні клавіатури, а не запускається новий сеанс служб терміналу) і розгорнути клієнтський дисплей на два монітори. Параметр / span - одне з найбільш вдалих нововведень RDC 6.0. Тепер при дистанційному підключенні до серверів можна ефективно використовувати екранну площа моніторів робочої станції.

Перевірка справжності сервера

Щелкнем на вкладці Advanced в діалоговому вікні клієнта RDP, щоб налаштувати нову функцію Server Authentication, яка забезпечує додатковий рівень безпеки під час активного з'єднання. При підключенні до комп'ютера Vista або Windows Server 2008 (раніше відомий як Longhorn) клієнт RDC намагається упевнитися, що сервер, з яким належить встановити з'єднання, дійсно той, який потрібен. До тих пір поки все комп'ютери не будуть переведені на Vista або Longhorn, рекомендується встановити прапорець Warn the user if the connection can not be authenticated, що призводить до появи попередження, показаного на екрані 1. Після того як будуть повністю розгорнуті Vista і Longhorn, можна застосувати режим Do not connect if the server can not be authenticated.

Дана перевірка справжності сервера відрізняється від перевірки з сертифікатом TLS, використовуваної в Windows 2003 Service Pack 1 (SP1) і Remote Desktop Connection 5.2. Для перевірки справжності сервера на основі RDC 6.0 не потрібно інфраструктура відкритих ключів (PKI), але необхідно підключення до комп'ютера з операційною системою Vista або Windows Server 2008.

Перевірка справжності на мережевому рівні

Клієнт RDC підтримує новий механізм перевірки автентичності на мережевому рівні, званий Network Level Authentication (NLA). Перед підключенням формується запит облікових даних, і перевірку автентичності потрібно завершити до організації віддаленого сеансу. На екрані 2 показано повідомлення, яке виводиться в разі невдачі перевірки автентичності. При організації нового з'єднання з використанням колишніх версій RDP-клієнта і при підключенні до комп'ютерів, відмінним від Vista і Longhorn, клієнт спочатку встановлює повний сеанс RDP, а потім користувачі вводять облікові дані в звичайному вікні реєстрації графічного інтерфейсу Windows.

Перевіряючи достовірність клієнта перед організацією сеансу RDP, NLA економить ресурси і пропускну здатність каналу зв'язку і зменшує ймовірність багаторазового введення пароля зловмисником в процесі реєстрації. Це досягається завдяки обміну тільки інформацією, що відноситься до мережевої перевірці автентичності, а не повними даними RDP-сеансу. В останньому випадку комп'ютер вже може бути уразливий для атаки. І клієнт, і сервер повинні бути NLA-сумісними, тому даний метод прийнятний лише при підключенні нового клієнта до комп'ютерів Vista або Windows Server 2008. У результаті застосування нових процедур перевірки автентичності, виконуваних клієнтом RDC, користувач може отримувати додаткові запити в процесі підключення. Такі запрошення важливі для збереження зворотної сумісності за підтримки нових функцій.

RDP-файли без збережених паролів

Поряд з NLA, зміни RDP-клієнта торкнулися і місця введення облікових даних, і способу їх зберігання. При введенні облікових даних в клієнтську програму RDP більше не була необхідною вказувати ім'я користувача, пароль і домен на вкладці General клієнта RDP. Замість цього при першій спробі підключитися до віддаленого комп'ютера окреме діалогове вікно Windows запитує облікові дані, а потім пропонує запам'ятати їх.

Новий клієнт не записує облікові дані в збереженому RDP-профілі (текстовому файлі), як попередні версії; дані зберігаються в новому диспетчері облікових даних. Відсутність переносите, збережених облікових даних підвищує безпеку комп'ютера, але може позначитися на методах управління серверами. Наприклад, новий клієнт не дозволяє створити RDP-сеанс з збереженими обліковими даними і відправити їх по електронній пошті колезі, який міг би підключитися як інший користувач, зазначений в RDP-файлі. Проте як і раніше існує можливість зберегти і поширювати RDP-файли, що містять ім'я сервера і параметри з'єднання, але не облікові дані користувача. Користувачі повинні пройти перевірку справжності при першому зверненні (і можуть дати клієнтові RDC команду запам'ятати облікові дані).

Множинні діалогові вікна підтвердження

Деякими додатковими запрошеннями, які видаються в процесі підключення, можна управляти через клієнтські або серверні налаштування або через групову політику. Наприклад, широко застосовується параметр об'єкта групової політики Always prompt client for password upon connection. Якщо призначена ця політика, то ввести облікові дані необхідно двічі: один раз для NLA, інший - на екрані RDP. Звичайно, після повсюдного розгортання Windows Server 2008 і Vista можна буде обійтися тільки NLA, і користувачі не побачать другого, традиційного запрошення перевірки автентичності RDP. А поки, якщо в компанії прийнято завжди направляти користувачам запити, вони можуть просто клацнути на кнопці OK у вікні облікових даних NLA, а потім ввести облікові дані у відповідь на другий запит після організації сеансу RDP.

перенаправлення ресурсів

Клієнт RDC підтримує зіставлення локальних ресурсів для перенаправлення звуку, клавіатури і локальних пристроїв з головного комп'ютера на клієнтський. Наприклад, якщо задано перенаправлення звуку і на головний комп'ютер офісу надійде поштове повідомлення під час дистанційного підключення клієнтського домашнього комп'ютера, поштовий клієнт домашнього комп'ютера подасть звуковий сигнал (якщо клієнтська поштова програма підтримує звукове сповіщення).

Можливості перенаправлення RDC-клієнта XP обмежені дисковими накопичувачами, принтерами і послідовними портами; проте клієнт RDC 6.0 з операційною системою Vista або Windows Server 2008 може перенаправити буфер обміну головного комп'ютера і вказати окремі жорсткі диски, які потрібно зробити доступними. Крім того, можна перенаправляти пристрою PnP і смарт-карти. Наприклад, я підключив цифрову камеру до домашнього комп'ютера Vista і звертався до фотографій в камері безпосередньо з робочого комп'ютера також з операційною системою Vista. Я звертався до камери безпосередньо, а не в результаті автоматичного монтування або відображення диска.

Відображення локальних дисків на віддалений комп'ютер впливає на безпеку. Наприклад, якщо включити перенаправлення дисків з віддаленого комп'ютера на робочий і перейти до розділу My Computer на робочому комп'ютері в сеансі RDP, то можна побачити не тільки жорсткі диски робочого комп'ютера, але і покажчики на локальні жорсткі диски домашнього комп'ютера. Завдяки візуальної зв'язку не складає труднощів копіювати файли між двома комп'ютерами. Якщо політика безпеки компанії забороняє копіювати робочі дані на сторонні комп'ютери, заборонити відображення можна за допомогою об'єкта GPO.

візуальна зв'язок

За допомогою RDC можна налаштувати зовнішній вигляд віддаленого сеансу в залежності від характеристик каналу зв'язку, тому у користувача є можливість відключити деякі функції при обмежену пропускну здатність каналу зв'язку. Наприклад, щоб збільшити продуктивність, можна відключити фон робочого столу, приховати вміст вікна при перетягуванні, відключити анімацію і теми меню і вікон і включити кешування растрових зображень.

RDC 6.0 має усіма цими можливостями і дозволяє згладжувати шрифт (забарвлення країв букв різними відтінками сірого, щоб символи виглядали більш рівними) і міняти композицію робочого столу. Функція згладжування шрифтів виглядала досить непогано, схоже на режим ClearType, реалізований в XP. Але дійсно вдала функція - композиції робочого столу. Вона не тільки забезпечує відмінні візуальні ефекти, такі як прозорий інтерфейс Aero, але і дозволяє швидше переміщати вікно по екрану. У 100-мегабитной мережі я активізував всі можливості, в тому числі 32-розрядний уявлення кольору і повноцінні «враження». Результат був чудовим, це кращий клієнтський інтерфейс RDC. Навіть при відтворенні відео можна переміщати вікно, і процес показу відео триває без затримок.

Режим Connect from anywhere версії RDC 6.0 передбачає функцію TS Gateway в операційній системі Windows Server 2008, яка забезпечує RDP через протокол Secure Sockets Layer (SSL). RDP використовує TCP-порт 3389 і вимагає передачі цього протоколу через брандмауер на внутрішній сервер, якщо дозволено віддалене з'єднання через Internet. TS Gateway використовує галузевий стандарт SSL (з використанням TCP-порту 443) для інкапсуляції і шифрування всього сеансу RDP. Крім того, можна розмістити TS Gateway на периметрі мережі і дати зовнішній доступ тільки до нього. Дистанційні клієнти підключаються до шлюзу, який, в свою чергу, підключається до внутрішніх комп'ютерів. З цієї та багатьох інших причин RDC 6.0 можна вважати вдалою модернізацією на шляху переходу до Vista і Windows Server 2008.

Джеф Феллінг - Позаштатний редактор Windows IT Pro і фахівець з інформаційної безпеки. Віце-президент компанії aQuantive. [email protected]

RDC 6.0: підключаємося до віддаленого робочого столу