NAT 或防火墙后的 RDP，3389 端口保持关闭

01  /  问题所在

为什么不直接转发 3389

开放 3389 端口，或者在路由器上转发它，等于把 RDP 登录界面放到公网上。几小时内就会被扫描器发现，从此源源不断地遭受密码猜测。何况 CGNAT 和严格的防火墙往往让这条路根本走不通。Connector 绕开了这一切：你的机器从不接受任何入站连接。

02  /  工作原理

机器向外连接，没有任何连接进来

• ▸仅出站连接。Connector 主动连接到 termal.in 并保持连接；它从不监听，所以没有端口可转发，也没有端口可扫描。
• ▸只访问私有一侧。在这条路径上，目标地址是 Connector 所在网络中的私有地址，绝不会是公网地址。
• ▸浏览器或应用。桌面可以在 termal.in/account 的浏览器标签页中打开，也可以在桌面应用中打开。用浏览器时，你面前这台电脑上什么都不用装。

03  /  两种部署

Connector 的两种放法

装在 Windows 机器本身。在你想访问的电脑或服务器上安装 Connector。在网页控制台中点击“获取安装命令”→ Windows，然后在 PowerShell 中运行它给出的那一行命令（它会自己请求管理员权限）：

irm https://termal.in/i/<token>.ps1 | iex

这时目标地址是 127.0.0.1；因为桌面就在 Connector 所在的机器上，旁边还会有一个“文件”按钮，可以通过同一条链路浏览这台电脑的驱动器，无需额外配置。

装在同一网络的另一台机器上。如果你不想动那台电脑，或者它不是 Windows，可以把 Connector 装在局域网中任意一台 Linux 机器或 Mac 上（树莓派、NAS，或同一私有网络中的 VPS）：

curl -fsSL https://termal.in/i/<token> | sudo sh

然后把桌面地址指向那台电脑的私有地址：10.x、192.168.x 或 172.16–31.x。Connector 会在本地网络中连接它。安装链接只能使用一次，一小时内有效。

04  /  Windows 一侧

需要检查的 Windows 设置

• ▸开启远程桌面。设置 → 系统 → 远程桌面（在服务器上：服务器管理器 → 本地服务器）。
• ▸允许你的用户。该账户必须是管理员，或者在 Remote Desktop Users（远程桌面用户）组中。
• ▸网络级别身份验证可以保持开启（默认如此），它能让密码不以明文传输。请使用本地账户或 NTLM；经由中转无法访问 Kerberos。
• ▸不能用空密码。密码为空的本地账户无法通过 RDP 登录，这是 Windows 的策略，不是 Termalin 的限制。

05  /  VNC 也行

VNC 桌面，同样的方式

Linux 桌面或其他任何监听 5900–5999 端口的 VNC 服务器，都能通过同一个 Connector 访问。VNC 密码校验在你和服务器之间进行，termal.in 始终看不到密码；而且与直接 VNC 连接不同，画面和按键都留在 Connector 的隧道里，不会以明文穿越互联网。支持任何使用 VNC 密码或无需认证的 RFB 3.3–3.8 服务器（TigerVNC、TightVNC、UltraVNC，以及使用 VNC 密码的 RealVNC）。

06  /  对比

与 VPN、SSH 隧道或 RD Gateway 相比

Connector 路径需要 Pro 或 Team 套餐。如果你管理的是庞大的 Active Directory 环境，带 Kerberos 和集中策略的 RD Gateway 才是更重型、更对口的工具；Termalin 则是快速、无密钥访问少量机器的方式。