termalÁrea de trabalho remota · atrás de NAT
RDP atrás de NAT ou de um firewall — com a porta 3389 fechada.
Encaminhar a porta 3389 para a internet é um jeito clássico de ter uma máquina invadida. Em vez disso, instale um Termalin Connector no PC ou servidor Windows que você quer acessar, ou em qualquer máquina da mesma rede. O Connector conecta de dentro para fora, então nada fica escutando e nenhuma porta é encaminhada — e a área de trabalho abre por RDP ou VNC no navegador ou no app. É assim que você acessa um PC atrás de NAT sem VPN.
Só conexões de saída · a porta 3389 continua fechada · Pro ou Team (14 dias de teste)
01 / o problema
Por que não simplesmente encaminhar a 3389.
Abrir a porta 3389 — ou encaminhá-la no roteador — coloca uma tela de login RDP na internet pública. Em poucas horas, ela é encontrada pelos scanners e, a partir daí, recebe um fluxo constante de tentativas de adivinhar a senha. CGNAT e um firewall restritivo muitas vezes tornam isso impossível de qualquer forma. O Connector evita tudo isso: nada na sua máquina aceita uma conexão de entrada.
02 / como funciona
A máquina conecta para fora. Nada conecta para dentro.
- ▸Só conexões de saída. O Connector abre uma conexão para o termal.in e a mantém; ele nunca escuta, então não há porta para encaminhar nem para escanear.
- ▸Só o lado privado. Nesse caminho, o endereço de destino é um endereço privado na própria rede do Connector — nunca um endereço público.
- ▸Navegador ou app. A área de trabalho abre numa aba do navegador em termal.in/account, ou no app de desktop. Nada para instalar na máquina em que você está (no caso do navegador).
03 / duas configurações
Duas formas de posicionar o Connector.
Na própria máquina Windows. Instale o Connector no PC ou servidor que você quer acessar. No painel web, clique em Obter comando de instalação → Windows e execute no PowerShell a linha que ele mostra (ele mesmo pede direitos de administrador):
irm https://termal.in/i/<token>.ps1 | iex
O destino passa a ser 127.0.0.1 e, como a área de trabalho está na própria máquina do Connector, você também ganha o botão Arquivos ao lado dela — navegue pelas unidades desse PC pelo mesmo link, sem nenhuma configuração extra.
Em outra máquina da mesma rede. Se você prefere não mexer no PC — ou se ele não é Windows —, coloque o Connector em qualquer máquina Linux ou Mac da LAN (um Raspberry Pi, um NAS, um VPS na mesma rede privada):
curl -fsSL https://termal.in/i/<token> | sudo sh
Depois, aponte a área de trabalho para o endereço privado do PC — 10.x, 192.168.x ou 172.16–31.x. O Connector se conecta a ele na rede local. O link de instalação é de uso único e vale por uma hora.
04 / do lado do Windows
Configurações do Windows para conferir.
- ▸Área de Trabalho Remota ativada. Configurações → Sistema → Área de Trabalho Remota (num servidor, Gerenciador do Servidor → Servidor Local).
- ▸Seu usuário com permissão. A conta precisa ser de administrador ou estar listada em Usuários da Área de Trabalho Remota.
- ▸O Network Level Authentication pode continuar ativado (o padrão) — ele mantém a senha fora do texto puro. Use uma conta local ou NTLM; o Kerberos não é alcançável pelo relay.
- ▸Sem senhas em branco. Uma conta local com senha em branco não consegue entrar por RDP — é uma política do Windows, não um limite do Termalin.
05 / VNC também
Áreas de trabalho VNC, do mesmo jeito.
Uma área de trabalho Linux ou qualquer outro servidor VNC nas portas 5900–5999 funciona pelo mesmo Connector. A verificação da senha VNC acontece entre você e o servidor — o termal.in nunca vê a senha — e, ao contrário de uma conexão VNC direta, a tela e as teclas ficam dentro do túnel do Connector, em vez de atravessar a internet em texto puro. Qualquer servidor RFB 3.3–3.8 com senha VNC ou sem autenticação é suportado (TigerVNC, TightVNC, UltraVNC, RealVNC com senha VNC).
06 / comparação
Comparado a uma VPN, a um túnel SSH ou ao RD Gateway.
| Abordagem | Abre uma porta? | Do seu lado | Melhor quando |
|---|---|---|---|
| Encaminhar a 3389 | Sim — na internet | Mudança no roteador | Nunca, de verdade |
Túnel SSH (ssh -L 3389) | A porta SSH, ou nenhuma atrás de NAT | Um ponto de entrada SSH + um cliente | Você já tem acesso por SSH |
| VPN mesh | Não (só saída) | Cliente VPN em cada dispositivo | Você quer uma rede privada completa |
| RD Gateway | 443, mais AD | Infraestrutura de Windows Server | Uma grande frota Windows gerenciada |
| Termalin Connector | Não — só saída | Uma linha na máquina; navegador ou app | Uma ou poucas áreas de trabalho, rápido |
O caminho pelo Connector exige um plano Pro ou Team. Se você administra um grande ambiente Active Directory, o RD Gateway com Kerberos e políticas centralizadas é a ferramenta mais pesada para esse trabalho; o Termalin é o jeito rápido e sem chave de alcançar um punhado de máquinas.
Perguntas frequentes
O Connector abre alguma porta?
Não. Ele faz uma conexão de saída para o termal.in e nunca escuta em porta nenhuma — então não há nada para encaminhar no roteador nem nada para os scanners encontrarem. É isso que permite que ele funcione atrás de NAT, CGNAT e de um firewall restritivo.
A porta 22 é aberta no Windows quando eu o instalo?
Não. Quando o instalador adiciona o OpenSSH Server, o sshd escuta só em 127.0.0.1 e ::1 e a regra de firewall de entrada dele fica desativada, então a porta 22 não fica aberta para a rede. Um OpenSSH Server que já existia fica exatamente como estava. O Connector alcança o sshd pelo próprio túnel de saída.
De qual plano eu preciso?
Alcançar uma área de trabalho por um Connector é um recurso do Pro ou do Team (os 14 dias de teste contam): até 4 áreas de trabalho abertas ao mesmo tempo no Pro, 10 no Team.
Posso usar o app de desktop em vez do navegador?
Sim. O app de desktop do Termalin (0.1.48 ou mais recente, no Windows, no macOS ou no Linux) abre a mesma área de trabalho pelo mesmo Connector. Uma área de trabalho alcançável diretamente é grátis no app; por um Connector, é o mesmo recurso do Pro/Team.
E uma área de trabalho com IP público?
Nesse caso, você não precisa de um Connector — o navegador ou o app podem se conectar a ela diretamente. Um Connector é para uma máquina atrás de NAT ou de um firewall, sem endereço público e sem porta encaminhada.
Alcance a área de trabalho e deixe a 3389 fechada.
Uma linha instala o Connector. Ele conecta de dentro para fora, nada fica escutando, e a área de trabalho Windows ou VNC abre no navegador ou no app.
Pro ou Team · 14 dias de teste · Windows Server por SSH · o Connector