RDP hinter NAT oder einer Firewall – mit geschlossenem Port 3389.

01  /  das Problem

Warum nicht einfach 3389 weiterleiten.

Port 3389 zu öffnen – oder am Router weiterzuleiten – stellt einen RDP-Anmeldebildschirm ins öffentliche Internet. Innerhalb von Stunden finden ihn Scanner, und von da an prasselt ein stetiger Strom von Passwortversuchen auf ihn ein. CGNAT und eine strenge Firewall machen es ohnehin oft unmöglich. Der Connector umgeht all das: Nichts auf deinem Rechner nimmt jemals eine eingehende Verbindung an.

02  /  so funktioniert es

Der Rechner verbindet sich nach außen. Herein verbindet sich nichts.

• ▸Nur ausgehend. Der Connector öffnet eine Verbindung zu termal.in und hält sie; er lauscht nie, es gibt also keinen Port, den man weiterleiten oder scannen könnte.
• ▸Nur die private Seite. Auf diesem Weg ist die Zieladresse eine private im eigenen Netz des Connectors – nie eine öffentliche Adresse.
• ▸Browser oder App. Der Desktop öffnet sich in einem Browser-Tab unter termal.in/account oder in der Desktop-App. Auf dem Rechner, an dem du sitzt, ist (für den Browser) nichts zu installieren.

03  /  zwei Varianten

Zwei Wege, den Connector zu platzieren.

Auf dem Windows-Rechner selbst. Installiere den Connector auf dem PC oder Server, den du erreichen willst. Klicke im Web-Kabinett auf Installationsbefehl abrufen → Windows und führe die Zeile, die du bekommst, in PowerShell aus (das Skript fragt selbst nach Administratorrechten):

irm https://termal.in/i/<token>.ps1 | iex

Das Ziel ist dann 127.0.0.1, und weil der Desktop auf dem Rechner des Connectors selbst liegt, bekommst du daneben auch die Schaltfläche Dateien – durchsuche die Laufwerke dieses PCs über dieselbe Verbindung, ohne weitere Einrichtung.

Auf einem anderen Gerät im selben Netz. Wenn du den PC lieber nicht anfassen willst – oder er kein Windows hat –, setze den Connector auf einen beliebigen Linux-Rechner oder Mac im LAN (einen Raspberry Pi, ein NAS, einen VPS im selben privaten Netz):

curl -fsSL https://termal.in/i/<token> | sudo sh

Richte den Desktop dann auf die private Adresse des PCs – 10.x, 192.168.x oder 172.16–31.x. Der Connector wählt sie im lokalen Netz an. Der Installationslink ist nur einmal verwendbar und eine Stunde lang gültig.

04  /  auf der Windows-Seite

Windows-Einstellungen, die du prüfen solltest.

• ▸Remotedesktop an. Einstellungen → System → Remotedesktop (auf einem Server: Server-Manager → Lokaler Server).
• ▸Dein Benutzer ist zugelassen. Das Konto muss ein Administrator sein oder unter Remotedesktopbenutzer stehen.
• ▸Die Authentifizierung auf Netzwerkebene kann an bleiben (der Standard) – sie hält das Passwort aus dem Klartext heraus. Nutze ein lokales Konto oder NTLM; Kerberos ist über das Relay nicht erreichbar.
• ▸Keine leeren Passwörter. Ein lokales Konto mit leerem Passwort kann sich nicht über RDP anmelden – das ist eine Windows-Richtlinie, keine Grenze von Termalin.

05  /  auch VNC

VNC-Desktops, auf dieselbe Weise.

Ein Linux-Desktop oder jeder andere VNC-Server auf 5900–5999 funktioniert über denselben Connector. Die Prüfung des VNC-Passworts läuft zwischen dir und dem Server – termal.in sieht das Passwort nie –, und anders als bei einer direkten VNC-Verbindung bleiben Bildschirm und Tastenanschläge im Tunnel des Connectors, statt im Klartext durchs Internet zu gehen. Unterstützt wird jeder RFB-3.3–3.8-Server mit VNC-Passwort oder ohne Authentifizierung (TigerVNC, TightVNC, UltraVNC, RealVNC mit VNC-Passwort).

06  /  im Vergleich

Gegen VPN, SSH-Tunnel oder RD Gateway.

Der Weg über den Connector braucht einen Pro- oder Team-Tarif. Wenn du eine große Active-Directory-Landschaft betreibst, ist RD Gateway mit Kerberos und zentralen Richtlinien das schwerere Werkzeug für diese Aufgabe; Termalin ist der schnelle, schlüssellose Weg zu einer Handvoll Rechner.