RDP derrière un NAT ou un pare-feu — avec le port 3389 fermé.

01  /  le problème

Pourquoi ne pas simplement rediriger le 3389.

Ouvrir le port 3389 — ou le rediriger sur le routeur — place un écran de connexion RDP sur l’Internet public. En quelques heures, les scanners le trouvent, et dès lors il subit un flot continu de tentatives de mots de passe. Le CGNAT et un pare-feu strict rendent souvent la chose impossible de toute façon. Le Connector contourne tout cela : rien sur votre machine n’accepte jamais de connexion entrante.

02  /  comment ça marche

La machine se connecte vers l’extérieur. Rien ne se connecte vers elle.

• ▸Connexion sortante uniquement. Le Connector ouvre une connexion vers termal.in et la maintient ; il n’écoute jamais : aucun port à rediriger ni à scanner.
• ▸Côté privé uniquement. Sur ce chemin, l’adresse cible est une adresse privée du réseau du Connector — jamais une adresse publique.
• ▸Navigateur ou app. Le bureau s’ouvre dans un onglet du navigateur sur termal.in/account, ou dans l’application de bureau. Rien à installer sur la machine devant laquelle vous êtes assis (pour le navigateur).

03  /  deux configurations

Deux façons de placer le Connector.

Sur la machine Windows elle-même. Installez le Connector sur le PC ou le serveur à joindre. Dans l’espace web, cliquez sur Obtenir la commande d’installation → Windows et lancez dans PowerShell la ligne fournie (elle demande elle-même les droits d’administrateur) :

irm https://termal.in/i/<token>.ps1 | iex

La cible est alors 127.0.0.1, et comme le bureau se trouve sur la machine du Connector, vous obtenez aussi le bouton Fichiers à côté — parcourez les lecteurs de ce PC par le même lien, sans rien configurer de plus.

Sur une autre machine du même réseau. Si vous préférez ne pas toucher au PC — ou s’il n’est pas sous Windows — placez le Connector sur n’importe quelle machine Linux ou Mac du réseau local (un Raspberry Pi, un NAS, un VPS sur le même réseau privé) :

curl -fsSL https://termal.in/i/<token> | sudo sh

Puis faites pointer le bureau vers l’adresse privée du PC — 10.x, 192.168.x ou 172.16–31.x. Le Connector la joint sur le réseau local. Le lien d’installation est à usage unique et valable une heure.

04  /  côté Windows

Les réglages Windows à vérifier.

• ▸Bureau à distance activé. Paramètres → Système → Bureau à distance (sur un serveur, Gestionnaire de serveur → Serveur local).
• ▸Votre utilisateur autorisé. Le compte doit être administrateur ou figurer dans Utilisateurs du Bureau à distance.
• ▸Network Level Authentication peut rester activé (par défaut) — il évite que le mot de passe circule en clair. Utilisez un compte local ou NTLM ; Kerberos n’est pas joignable à travers le relais.
• ▸Pas de mot de passe vide. Un compte local au mot de passe vide ne peut pas se connecter en RDP — c’est une stratégie Windows, pas une limite de Termalin.

05  /  VNC aussi

Les bureaux VNC, de la même façon.

Un bureau Linux ou tout autre serveur VNC sur 5900–5999 fonctionne par le même Connector. La vérification du mot de passe VNC se fait entre vous et le serveur — termal.in ne voit jamais le mot de passe — et, contrairement à une connexion VNC directe, l’écran et les frappes restent dans le tunnel du Connector au lieu de traverser Internet en clair. Tout serveur RFB 3.3–3.8 avec un mot de passe VNC ou sans authentification est pris en charge (TigerVNC, TightVNC, UltraVNC, RealVNC avec un mot de passe VNC).

06  /  comparaison

Face à un VPN, un tunnel SSH ou RD Gateway.

Le chemin via le Connector nécessite un forfait Pro ou Team. Si vous gérez un vaste parc Active Directory, RD Gateway avec Kerberos et une stratégie centralisée est l’outil plus lourd adapté à ce travail ; Termalin est le moyen rapide et sans clé de joindre une poignée de machines.