通过SSH隧道安全建立RDP远程桌面连接(RDP over SSH tunnel)

我有一台windows的虚拟机, 已经在路由器中对RDP的端口做了端口映射, 如此我便能在任何地方连接上这台虚拟机, 但问题也随之而来, 如何在保证易用的同时也适当的保障安全性？

为什么要通过ssh隧道来建立远程桌面连接

1. RDP服务本身存在诸多风险, 不仅仅用户的弱口令问题, 还包括其本身也有诸多漏洞, 相比之下, 还是更相信SSH一些。
2. 很多公司为了规避风险, 会在防火墙中限制3389端口的访问。但对SSH, 会宽容许多。当然, 即使安全策略没有彻底限制RDP, 这里也不建议在没有得到公司允许的情况下, 私自利用ssh隧道来建立RDP连接, 因为还是会存在诸多风险的。

思路

通过SSH隧道安全建立RDP远程桌面连接的方法有许多种, 这里提供以下几种方法

• 方法1 win10通过配置可以打开 OpenSSH Server, 非win10可自行下载安装, 而后通过该Server建立ssh隧道, 本文重点介绍该方法
• 方法2 在内网中创建另外一个能和当前win主机互访的linux主机, 再建立隧道
• 方法3 如果你的路由是软路由系统并支持ssh tunnel, 可以直接利用软路由建立隧道

大致步骤:

1. 在win10上打开 OpenSSH server
2. 配置ssh server, 诸如改ssh端口, 启用密钥登录, 禁用密码登录
3. 生成ssh key, 并将公钥拷贝到指定文件夹
4. 将密钥拷贝到另一台计算机
5. 在另一台计算机建立ssh隧道连接win10主机

具体步骤

1. 打开"设置"->“应用和功能”->“可选功能”, 并安装"OpenSSH Server"功能
   

2. 配置ssh server

OpenSSH Server 的安装目录在"C:\Windows\System32\OpenSSH", 但我们需要在"C:\ProgramData\ssh"目录下, 修改"sshd_config"文件, 如果不能直接保存, 可先拷贝出来修改后再覆盖回去。

• 修改ssh默认端口, Port 22 改为 Port 55555
• 修改 PermitRootLogin 选项为 no, 即"PermitRootLogin no"
• 修改 PasswordAuthentication 选项为 no, 即"PasswordAuthentication no"
• 不注释该行 “PubkeyAuthentication yes”
• 不注释该行 “AuthorizedKeysFile .ssh/authorized_keys”
• 注释该行 “Match Group administrators”
• 注释该行 “AuthorizedKeysFile PROGRAMDATA/ssh/administrators_authorized_keys”

可参考"https://winaero.com/enable-openssh-server-windows-10/"

3. 生成ssh key, 并将公钥拷贝到指定文件夹

生成 ssh key 有很多种做法

• 很多程序员安装了"git extension" , 它自带了"putty key generator"可以生成key
• 利用OpenSSH本身的"ssh-keygen"生成, 可直接在"cmd"中键入"ssh-keygen"回车, 按照提示创建key, 最好为私钥创建一个密码。
  
  默认"C://Users//用户名//.ssh//id_rsa.pub"文件便是公钥, 在该文件夹中创建"authorized_keys", 并把公钥中的文本追加"authorized_keys"文件中。

4. 将密钥拷贝到另一台计算机
   你一定会需要把你生成私钥拷贝到另外这台计算机上, 无论是windows还是linux, 一般都是放到用户文件夹下的".ssh"文件夹。
   windows是类似"C://Users//用户名//.ssh"文件夹
   linux是类似"/home/用户名/.ssh"文件夹
   macos是类似"/Users/用户名/.ssh"文件夹

5. 在另一台计算机建立ssh隧道连接win10主机

• 如果另一台计算机是 linux 或者 macos, 那么只需要打开"terminal"键入命令即可创建隧道, 命令类似

ssh 用户名@公网IP或者域名 -p 33333 -L 12345:127.0.0.1:55555 -N -o ServerAliveInterval=60 -o ServerAliveCountMax=3 -f

• 用户名应填写win10的用户名
• 公网IP或者域名处应填写你的公网IP或者域名, 如果你是用路由器上网的, 应填写路由器的获取到的公网IP地址
• 33333是你路由器上暴露给外部的端口号
• 55555是路由器映射到win10的内部端口号
• 如果你是通过局域网内另外一台机器做隧道, 那么127.0.0.1应改为win10在内网中的IP地址
• 两个"-o"参数用来保证ssh隧道不会自动关闭
• 加 “-f” 参数, 可以让隧道在后台运行, 但同时也不方便我们关闭隧道, 若要关闭隧道, 可以先"lsof -i tcp:12345"获取PID值, 再通过"kill -9 PID值"来关闭隧道。我一般不加"-f"参数, 方便我随时关闭隧道。
• "-N"参数表示只连接远程主机, 不打开远程shell

而后可以下载RDP客户端, windows自带远程桌面, linux可下载"xfreerdp", macos可自行下载微软官方的远程桌面。新建RDP连接, ip地址填写"127.0.0.1", 端口号写"12345", 即可连接。

• 如果另一台计算机也是windows, 你可以像之前安装OpenSSH Server一样安装"OpenSSH Client",或者安装开源免费的MobaXterm, 创建一个新Session, 按照下图设置即可。