NAT やファイアウォールの内側へ RDP——ポート 3389 は閉じたまま

01  /  問題

なぜ 3389 を転送するだけではいけないのか

ポート 3389 を開けたり、ルーターで転送したりすると、RDP のログイン画面がインターネットに公開されます。数時間のうちにスキャナーに見つかり、それ以降はパスワードの推測攻撃が絶え間なく続きます。そもそも CGNAT や厳格なファイアウォールのせいで、転送自体ができないこともよくあります。Connector はこれをすべて回避します。あなたのマシンが受信接続を受け付けることは一切ありません。

02  /  仕組み

マシンが外へ接続し、外からは誰も入ってこない

• ▸アウトバウンドのみ。Connector は termal.in へ接続を開いて維持します。待ち受けることはないので、転送するポートもスキャンされるポートもありません。
• ▸プライベート側のみ。この経路での接続先は、Connector と同じネットワーク上のプライベートアドレスです。パブリックアドレスになることはありません。
• ▸ブラウザーでもアプリでも。デスクトップは termal.in/account のブラウザータブ、またはデスクトップアプリで開きます。ブラウザーなら、手元のマシンには何もインストールしません。

03  /  2 つの構成

Connector を置く 2 つの方法

Windows マシン自体に。接続したい PC やサーバーに Connector をインストールします。キャビネットで「インストールコマンドを取得」→「Windows」をクリックし、表示された 1 行を PowerShell で実行します（管理者権限は自分から求めてきます）。

irm https://termal.in/i/<token>.ps1 | iex

接続先は 127.0.0.1 になります。デスクトップが Connector 自身のマシンにあるので、隣に「ファイル」ボタンも表示され、追加の設定なしに同じリンクでその PC のドライブを閲覧できます。

同じネットワーク上の別のマシンに。PC には手を加えたくない場合や、PC が Windows でない場合は、LAN 上の任意の Linux マシンや Mac（Raspberry Pi、NAS、同じプライベートネットワーク上の VPS など）に Connector を置きます。

curl -fsSL https://termal.in/i/<token> | sudo sh

あとは、デスクトップの接続先を PC のプライベートアドレス（10.x、192.168.x、172.16–31.x）に設定します。Connector がローカルネットワーク上でそこへ接続します。インストール用のリンクは 1 回だけ、1 時間有効です。

04  /  Windows 側

確認すべき Windows の設定

• ▸リモート デスクトップを有効に。設定 → システム → リモート デスクトップ（サーバーでは サーバー マネージャー → ローカル サーバー）。
• ▸ユーザーに許可を。アカウントが管理者であるか、Remote Desktop Users に登録されている必要があります。
• ▸ネットワーク レベル認証はオンのままで大丈夫です（既定）。パスワードが平文で流れるのを防ぎます。ローカルアカウントか NTLM を使ってください。Kerberos にはリレー越しに到達できません。
• ▸空のパスワードは不可。パスワードが空のローカルアカウントは RDP でサインインできません。これは Windows のポリシーで、Termalin の制限ではありません。

05  /  VNC も

VNC デスクトップも同じように

Linux のデスクトップや、5900〜5999 で待ち受ける任意の VNC サーバーも、同じ Connector で使えます。VNC のパスワード確認はあなたとサーバーの間で行われ、termal.in がパスワードを見ることはありません。また直接の VNC 接続とは違い、画面とキー入力は Connector のトンネル内にとどまり、平文でインターネットを流れることはありません。VNC パスワードを使うか認証なしの RFB 3.3〜3.8 サーバーであれば対応します（TigerVNC、TightVNC、UltraVNC、VNC パスワードを使う RealVNC）。

06  /  比較

VPN、SSH トンネル、RD ゲートウェイとの比較

Connector の経路には Pro または Team プランが必要です。大規模な Active Directory 環境を運用しているなら、Kerberos と集中管理のポリシーを備えた RD ゲートウェイのほうがその用途に適した重量級のツールです。Termalin は、数台のマシンに鍵なしで手早く到達するための方法です。