NAT나 방화벽 뒤의 RDP — 3389 포트는 닫은 채로

01  /  문제

3389를 그냥 포워딩하면 안 되는 이유

3389 포트를 열거나 라우터에서 포워딩하면 RDP 로그인 화면이 공용 인터넷에 노출됩니다. 몇 시간 안에 스캐너가 찾아내고, 그때부터 비밀번호 추측 시도가 끊임없이 들어옵니다. 게다가 CGNAT나 엄격한 방화벽 때문에 아예 불가능한 경우도 많습니다. Connector는 이 모두를 피해 갑니다. 내 머신의 어떤 것도 인바운드 연결을 받지 않습니다.

02  /  작동 방식

머신이 바깥으로 연결합니다. 안으로 들어오는 연결은 없습니다

• ▸아웃바운드 전용. Connector는 termal.in으로 연결을 열고 유지합니다. 리슨하지 않으므로 포워딩하거나 스캔할 포트가 없습니다.
• ▸사설 쪽만. 이 경로에서 대상 주소는 Connector 자체 네트워크의 사설 주소이며, 공인 주소는 절대 아닙니다.
• ▸브라우저 또는 앱. 데스크톱은 termal.in/account의 브라우저 탭이나 데스크톱 앱에서 열립니다. 브라우저를 쓰면 지금 앉아 있는 컴퓨터에 설치할 것이 없습니다.

03  /  두 가지 구성

Connector를 두는 두 가지 방법

Windows 머신 자체에. 접속하려는 PC나 서버에 Connector를 설치합니다. 캐비닛에서 설치 명령 가져오기 → Windows를 클릭하고, 받은 한 줄을 PowerShell에서 실행하세요(관리자 권한은 스스로 요청합니다).

irm https://termal.in/i/<token>.ps1 | iex

그러면 대상은 127.0.0.1이 되고, 데스크톱이 Connector 자체 머신에 있으므로 옆에 파일 버튼도 생깁니다. 추가 설정 없이 같은 링크로 그 PC의 드라이브를 탐색합니다.

같은 네트워크의 다른 머신에. PC를 건드리고 싶지 않거나 Windows가 아니라면, LAN에 있는 아무 Linux 머신이나 Mac(Raspberry Pi, NAS, 같은 사설 네트워크의 VPS)에 Connector를 두세요.

curl -fsSL https://termal.in/i/<token> | sudo sh

그다음 데스크톱 주소로 PC의 사설 주소(10.x, 192.168.x, 172.16–31.x)를 지정하면 Connector가 로컬 네트워크에서 연결합니다. 설치 링크는 일회용이며 한 시간 동안 유효합니다.

04  /  Windows 쪽

확인할 Windows 설정

• ▸원격 데스크톱 켜기. 설정 → 시스템 → 원격 데스크톱(서버라면 서버 관리자 → 로컬 서버).
• ▸내 사용자 허용. 계정이 관리자이거나 Remote Desktop Users 그룹에 있어야 합니다.
• ▸네트워크 수준 인증(NLA)은 켜 둬도 됩니다(기본값). 비밀번호가 평문으로 전송되지 않게 해 줍니다. 로컬 계정이나 NTLM을 쓰세요. 릴레이를 거쳐서는 Kerberos에 닿을 수 없습니다.
• ▸빈 비밀번호는 안 됩니다. 비밀번호가 비어 있는 로컬 계정은 RDP로 로그인할 수 없습니다. Termalin의 제한이 아니라 Windows 정책입니다.

05  /  VNC도

VNC 데스크톱도 같은 방식으로

Linux 데스크톱이나 5900–5999 포트의 다른 VNC 서버도 같은 Connector로 동작합니다. VNC 비밀번호 확인은 나와 서버 사이에서 이루어지므로 termal.in은 비밀번호를 볼 수 없습니다. 또한 직접 VNC 연결과 달리 화면과 키 입력이 평문으로 인터넷을 지나지 않고 Connector 터널 안에 머뭅니다. VNC 비밀번호를 쓰거나 인증이 없는 RFB 3.3–3.8 서버라면 모두 지원합니다(TigerVNC, TightVNC, UltraVNC, VNC 비밀번호를 쓰는 RealVNC).

06  /  비교

VPN, SSH 터널, RD Gateway와 비교

Connector 경로에는 Pro 또는 Team 요금제가 필요합니다. 대규모 Active Directory 환경을 운영한다면 Kerberos와 중앙 정책을 갖춘 RD Gateway가 그 일에 맞는 무거운 도구입니다. Termalin은 머신 몇 대에 키 없이 빠르게 닿는 방법입니다.