RDP tras NAT o un firewall — con el puerto 3389 cerrado.

01  /  el problema

Por qué no reenviar sin más el 3389.

Abrir el puerto 3389 — o reenviarlo en el router — pone una pantalla de inicio de sesión RDP en internet. En cuestión de horas la encuentran los escáneres, y a partir de ahí recibe un flujo constante de intentos de adivinar la contraseña. Además, CGNAT y un firewall estricto a menudo lo hacen imposible. El Connector esquiva todo eso: nada en tu máquina acepta nunca una conexión entrante.

02  /  cómo funciona

La máquina llama hacia fuera. Nada llama hacia dentro.

• ▸Solo saliente. El Connector abre una conexión hacia termal.in y la mantiene; nunca escucha, así que no hay ningún puerto que reenviar ni que escanear.
• ▸Solo el lado privado. En esta vía la dirección de destino es una dirección privada de la propia red del Connector — nunca una dirección pública.
• ▸Navegador o app. El escritorio se abre en una pestaña del navegador en termal.in/account, o en la app de escritorio. Nada que instalar en la máquina en la que estás sentado (con el navegador).

03  /  dos montajes

Dos formas de colocar el Connector.

En la propia máquina Windows. Instala el Connector en el PC o servidor al que quieres llegar. En el panel web pulsa Obtener comando de instalación → Windows y ejecuta la línea que te da en PowerShell (pide permisos de administrador por sí mismo):

irm https://termal.in/i/<token>.ps1 | iex

El destino es entonces 127.0.0.1, y como el escritorio está en la propia máquina del Connector también tienes el botón Archivos a su lado — explora las unidades de ese PC por el mismo enlace, sin configuración extra.

En otro equipo de la misma red. Si prefieres no tocar el PC — o no es Windows — pon el Connector en cualquier máquina Linux o Mac de la LAN (una Raspberry Pi, un NAS, un VPS en la misma red privada):

curl -fsSL https://termal.in/i/<token> | sudo sh

Después apunta el escritorio a la dirección privada del PC — 10.x, 192.168.x o 172.16–31.x. El Connector la llama en la red local. El enlace de instalación es de un solo uso y válido durante una hora.

04  /  del lado de Windows

Ajustes de Windows que debes comprobar.

• ▸Escritorio remoto activado. Configuración → Sistema → Escritorio remoto (en un servidor, Administrador del servidor → Servidor local).
• ▸Tu usuario permitido. La cuenta debe ser de administrador o figurar en Usuarios de escritorio remoto.
• ▸La autenticación a nivel de red (NLA) puede seguir activada (la opción predeterminada) — mantiene la contraseña fuera del texto claro. Usa una cuenta local o NTLM; Kerberos no es accesible a través del relé.
• ▸Sin contraseñas en blanco. Una cuenta local con la contraseña en blanco no puede iniciar sesión por RDP — es una directiva de Windows, no un límite de Termalin.

05  /  también VNC

Escritorios VNC, de la misma forma.

Un escritorio Linux o cualquier otro servidor VNC en el 5900–5999 funciona por el mismo Connector. La comprobación de la contraseña VNC se hace entre tú y el servidor — termal.in nunca ve la contraseña — y, a diferencia de una conexión VNC directa, la pantalla y las pulsaciones de teclado se quedan dentro del túnel del Connector en lugar de cruzar internet en claro. Se admite cualquier servidor RFB 3.3–3.8 con contraseña VNC o sin autenticación (TigerVNC, TightVNC, UltraVNC, RealVNC con contraseña VNC).

06  /  comparado

Frente a una VPN, un túnel SSH o RD Gateway.

La vía del Connector necesita un plan Pro o Team. Si gestionas un gran entorno de Active Directory, RD Gateway con Kerberos y directivas centrales es la herramienta más pesada para ese trabajo; Termalin es la forma rápida y sin claves de llegar a un puñado de máquinas.