Дистанционные подключения к серверам для управления и администрирования — основное требование каждого системного администратора. В интерфейсе Windows по-прежнему преобладают графические элементы, поэтому администраторам необходимы программы дистанционного управления, обеспечивающие доступ ко всему интерфейсу Windows. За последние несколько лет средство подключения к удаленному рабочему столу (RDC) стало стандартом де-факто для дистанционного управления компьютерами Windows. Это произошло по трем причинам: хорошая производительность; одновременное подключение нескольких пользователей к компьютеру; наличие бесплатного продукта в составе всех версий Windows, начиная с Windows 2000.
Remote Desktop Connection 6.0, новейшая версия бесплатного клиента удаленного доступа к рабочему столу компании Microsoft, поставляется вместе с Windows Vista. Можно загрузить продукт для Windows Server 2003 и Windows XP. Компания Microsoft успешно справилась с задачей обратной совместимости, поэтому с помощью нового клиента можно подключаться к компьютерам Windows Server 2003, Windows XP и Windows 2000. Готовясь к выпуску Windows Vista и Longhorn, разработчики Microsoft дополнили продукт многими функциями, но есть и другие полезные новшества. Некоторые из них направлены на повышение уровня безопасности и производительности RDC.
Remote Desktop Connection 6.0 для XP и Windows 2003 можно скачать из центра загрузки Microsoft Download Center. Дополнительные сведения об условиях загрузки приведены в статье Microsoft «Remote Desktop Connection 6.0 client update is available for download in the Microsoft Download Center», http://support.microsoft.com/kb/925876 . Загружается только клиентская программа, устанавливаемая на компьютере, к которому предстоит подключиться, чтобы управлять другими компьютерами. На управляемых устройствах не требуется устанавливать никаких программ. Чтобы быстро запустить программу после установки, нужно щелкнуть на кнопке Start и ввести команду mstsc в строке Run. Другой способ — последовательно выбрать Start, Programs, Accessories, Communications, Remote Desktop Connection.
Запуская программу из командной строки, можно воспользоваться полезными параметрами. Например, введите
mstsc /console /span
чтобы установить соединение с консолью (при этом открывается такой же сеанс интерактивного входа, как при использовании клавиатуры, а не запускается новый сеанс служб терминала) и развернуть клиентский дисплей на два монитора. Параметр /span — одно из самых удачных новшеств RDC 6.0. Теперь при дистанционном подключении к серверам можно эффективно использовать экранную площадь мониторов рабочей станции.
Проверка подлинности сервера
Щелкнем на вкладке Advanced в диалоговом окне клиента RDP, чтобы настроить новую функцию Server Authentication, которая обеспечивает дополнительный уровень безопасности при установке соединения. При подключении к компьютеру Vista или Windows Server 2008 (ранее известный как Longhorn) клиент RDC пытается удостовериться, что сервер, с которым предстоит установить соединение, действительно тот, который нужен. До тех пор пока все компьютеры не будут переведены на Vista или Longhorn, рекомендуется установить флажок Warn the user if the connection cannot be authenticated, что приводит к появлению предупреждения, показанного на экране 1. После того как будут полностью развернуты Vista и Longhorn, можно применить режим Do not connect if the server cannot be authenticated.
Данная проверка подлинности сервера отличается от проверки с сертификатом TLS, используемой в Windows 2003 Service Pack 1 (SP1) и Remote Desktop Connection 5.2. Для проверки подлинности сервера на основе RDC 6.0 не требуется инфраструктура открытых ключей (PKI), но необходимо подключение к компьютеру с операционной системой Vista или Windows Server 2008.
Проверка подлинности на сетевом уровне
Клиент RDC поддерживает новый механизм проверки подлинности на сетевом уровне, называемый Network Level Authentication (NLA). Перед подключением формируется запрос учетных данных, и проверку подлинности требуется завершить до организации удаленного сеанса. На экране 2 показано сообщение, которое выводится в случае неудачи проверки подлинности. При организации нового соединения с использованием прежних версий RDP-клиента и при подключении к компьютерам, отличным от Vista и Longhorn, клиент сначала устанавливает полный сеанс RDP, а затем пользователи вводят учетные данные в обычном окне регистрации графического интерфейса Windows.
Проверяя подлинность клиента перед организацией сеанса RDP, NLA экономит ресурсы и пропускную способность канала связи и уменьшает вероятность многократного ввода пароля злоумышленником в процессе регистрации. Это достигается благодаря обмену только информацией, относящейся к сетевой проверке подлинности, а не полными данными RDP-сеанса. В последнем случае компьютер уже может быть уязвим для атаки. И клиент, и сервер должны быть NLA-совместимыми, поэтому данный метод приемлем только при подключении нового клиента к компьютерам Vista или Windows Server 2008. В результате применения новых процедур проверки подлинности, выполняемых клиентом RDC, пользователь может получать дополнительные запросы в процессе подключения. Такие приглашения важны для сохранения обратной совместимости при поддержке новых функций.
RDP-файлы без сохраненных паролей
Наряду с NLA, изменения RDP-клиента коснулись и места ввода учетных данных, и способа их хранения. При вводе учетных данных в клиентскую программу RDP более не требуется указывать имя пользователя, пароль и домен на вкладке General клиента RDP. Вместо этого при первой попытке подключиться к удаленному компьютеру отдельное диалоговое окно Windows запрашивает учетные данные, а затем предлагает запомнить их.
Новый клиент не записывает учетные данные в сохраненном RDP-профиле (текстовом файле), как предшествующие версии; данные хранятся в новом диспетчере учетных данных. Отсутствие переносимых, сохраненных учетных данных повышает безопасность компьютера, но может отразиться на методах управления серверами. Например, новый клиент не позволяет создать RDP-сеанс с сохраненными учетными данными и отправить их по электронной почте коллеге, который мог бы подключиться как другой пользователь, указанный в RDP-файле. Однако по-прежнему существует возможность сохранить и распространять RDP-файлы, содержащие имя сервера и параметры соединения, но не учетные данные пользователя. Пользователи должны пройти проверку подлинности при первом обращении (и могут дать клиенту RDC команду запомнить учетные данные).
Множественные диалоговые окна подтверждения
Некоторыми дополнительными приглашениями, выдаваемыми в процессе подключения, можно управлять через клиентские или серверные настройки либо через групповую политику. Например, широко применяется параметр объекта групповой политики Always prompt client for password upon connection. Если назначена эта политика, то ввести учетные данные необходимо дважды: один раз для NLA, другой — на экране RDP. Конечно, после повсеместного развертывания Windows Server 2008 и Vista можно будет обойтись только NLA, и пользователи не увидят второго, традиционного приглашения проверки подлинности RDP. А пока, если в компании принято всегда направлять пользователям запросы, они могут просто щелкнуть на кнопке OK в окне учетных данных NLA, а затем ввести учетные данные в ответ на второй запрос после организации сеанса RDP.
Перенаправление ресурсов
Клиент RDC поддерживает сопоставление локальных ресурсов для перенаправления звука, клавиатуры и локальных устройств из главного компьютера на клиентский. Например, если задано перенаправление звука и на главный компьютер офиса поступит почтовое сообщение во время дистанционного подключения клиентского домашнего компьютера, почтовый клиент домашнего компьютера подаст звуковой сигнал (если клиентская почтовая программа поддерживает звуковое оповещение).
Возможности перенаправления RDC-клиента XP ограничены дисковыми накопителями, принтерами и последовательными портами; однако клиент RDC 6.0 с операционной системой Vista или Windows Server 2008 может перенаправить буфер обмена главного компьютера и указать отдельные жесткие диски, которые нужно сделать доступными. Кроме того, можно перенаправлять устройства PnP и смарт-карты. Например, я подключил цифровую камеру к домашнему компьютеру Vista и обращался к фотографиям в камере непосредственно с рабочего компьютера также с операционной системой Vista. Я обращался к камере напрямую, а не в результате автоматического монтирования или отображения диска.
Отображение локальных дисков на удаленный компьютер влияет на безопасность. Например, если включить перенаправление дисков с удаленного компьютера на рабочий и перейти к разделу My Computer на рабочем компьютере в сеансе RDP, то можно увидеть не только жесткие диски рабочего компьютера, но и указатели на локальные жесткие диски домашнего компьютера. Благодаря визуальной связи не составляет труда копировать файлы между двумя компьютерами. Если политика безопасности компании запрещает копировать рабочие данные на посторонние компьютеры, запретить отображение можно с помощью объекта GPO.
Визуальная связь
С помощью RDC можно настроить внешний вид удаленного сеанса в зависимости от характеристик канала связи, поэтому у пользователя есть возможность отключить некоторые функции при ограниченной пропускной способности канала связи. Например, чтобы увеличить производительность, можно отключить фон рабочего стола, скрыть содержимое окна при перетаскивании, отключить анимацию и темы меню и окон и включить кэширование растровых изображений.
RDC 6.0 располагает всеми этими возможностями и позволяет сглаживать шрифт (окраска краев букв различными оттенками серого, чтобы символы выглядели более ровными) и менять композицию рабочего стола. Функция сглаживания шрифтов выглядела весьма неплохо, похоже на режим ClearType, реализованный в XP. Но действительно удачная функция — композиции рабочего стола. Она не только обеспечивает отличные визуальные эффекты, такие как прозрачный интерфейс Aero, но и позволяет быстрее перемещать окно по экрану. В 100-мегабитной сети я активизировал все возможности, в том числе 32-разрядное представление цвета и полноценные «впечатления». Результат был замечательным, это лучший клиентский интерфейс RDC. Даже при воспроизведении видео можно перемещать окно, и процесс показа видео продолжается без задержек.
Режим Connect from anywhere версии RDC 6.0 предвосхищает функцию TS Gateway в операционной системе Windows Server 2008, которая обеспечивает RDP через протокол Secure Sockets Layer (SSL). RDP использует TCP-порт 3389 и требует передачи этого протокола через брандмауэр на внутренний сервер, если разрешено удаленное соединение через Internet. TS Gateway использует отраслевой стандарт SSL (с использованием TCP-порта 443) для инкапсуляции и шифрования всего сеанса RDP. Кроме того, можно разместить TS Gateway на периметре сети и дать внешний доступ только к нему. Удаленные клиенты подключаются к шлюзу, который, в свою очередь, подключается к внутренним компьютерам. По этой и многим другим причинам RDC 6.0 можно считать удачной модернизацией на пути перехода к Vista и Windows Server 2008.
Джеф Феллинг - Внештатный редактор Windows IT Pro и специалист по информационной безопасности. Вице-президент компании aQuantive. jeff@blackstatic.com