RDP за NAT или файрволом — при закрытом порте 3389

01  /  проблема

Почему бы просто не пробросить 3389

Открытый порт 3389 — или его проброс на роутере — выставляет экран входа RDP в публичный интернет. За считаные часы его находят сканеры, и с этого момента на него идёт непрерывный подбор паролей. А CGNAT и строгий файрвол часто вообще не дают так сделать. Connector обходит всё это: ничто на вашей машине никогда не принимает входящих подключений.

02  /  как это работает

Машина сама идёт наружу. Внутрь не подключается никто

• ▸Только исходящее. Connector открывает соединение к termal.in и держит его; он никогда не слушает порт, поэтому нечего пробрасывать и нечего сканировать.
• ▸Только частная сторона. На этом пути целевой адрес — частный адрес в собственной сети Connector, а не публичный.
• ▸Браузер или приложение. Рабочий стол открывается во вкладке браузера на termal.in/account или в десктоп-приложении. На машину, за которой вы сидите, ничего не нужно ставить (в случае браузера).

03  /  два варианта

Два способа разместить Connector

На самой машине с Windows. Установите Connector на ПК или сервер, до которого хотите добраться. В веб-кабинете нажмите «Получить команду установки» → Windows и выполните выданную строку в PowerShell (права администратора она запросит сама):

irm https://termal.in/i/<token>.ps1 | iex

Целевым адресом тогда будет 127.0.0.1, и поскольку рабочий стол находится на машине самого Connector, рядом появляется ещё и кнопка «Файлы» — просматривайте диски этого ПК по тому же каналу, без дополнительной настройки.

На другой машине в той же сети. Если не хотите трогать сам ПК — или это не Windows, — поставьте Connector на любую машину с Linux или Mac в локальной сети (Raspberry Pi, NAS, VPS в той же частной сети):

curl -fsSL https://termal.in/i/<token> | sudo sh

Затем укажите для рабочего стола частный адрес ПК — 10.x, 192.168.x или 172.16–31.x. Connector подключится к нему по локальной сети. Ссылка для установки одноразовая и действует час.

04  /  на стороне windows

Что проверить в настройках Windows

• ▸Удалённый рабочий стол включён. Параметры → Система → Удаленный рабочий стол (на сервере — Диспетчер серверов → Локальный сервер).
• ▸Вашему пользователю разрешён вход. Учётная запись должна быть администратором или входить в группу Пользователи удаленного рабочего стола (Remote Desktop Users).
• ▸Проверку подлинности на уровне сети (NLA) можно оставить включённой (по умолчанию) — она не пускает пароль в открытом виде. Используйте локальную учётную запись или NTLM; Kerberos через ретранслятор недоступен.
• ▸Без пустых паролей. Локальная учётная запись с пустым паролем не может войти по RDP — это политика Windows, а не ограничение Termalin.

05  /  и vnc тоже

Рабочие столы VNC — точно так же

Рабочий стол Linux или любой другой VNC-сервер на портах 5900–5999 работает через тот же Connector. Проверка пароля VNC проходит между вами и сервером — termal.in пароль никогда не видит, — и, в отличие от прямого VNC-подключения, изображение экрана и нажатия клавиш остаются внутри туннеля Connector, а не идут через интернет в открытом виде. Поддерживается любой сервер RFB 3.3–3.8 с паролем VNC или без аутентификации (TigerVNC, TightVNC, UltraVNC, RealVNC с паролем VNC).

06  /  сравнение

По сравнению с VPN, SSH-туннелем и RD Gateway

Путь через Connector требует тарифа Pro или Team. Если у вас большое хозяйство на Active Directory, RD Gateway с Kerberos и централизованными политиками — более тяжёлый инструмент как раз для этой задачи; Termalin — быстрый способ без ключей добраться до нескольких машин.