Уходим от VPN к SSH-туннелям. RDP через SSH на Mikrotik
Появилась задача сделать удаленный доступ клиентам к их RDP серверу и упростить доступ до одного клика.
Скрипты с VPNами не подошли по причине зоопарка домашних компьютеров клиента от Windows XP до Windows 10.
ОК, делаем на SSH-туннелях и защищаем их RSA-ключом.
Первое, что надо сделать админу, это скачать и установить Putty (если вдруг еще не установлен).
Приступаем к выпуску ключей через PuTTYgen
Запускаем, жмем Generate и двигаем мышкой до создания пары ключей
После чего создаем текстовый файл user1.rsa и копируем туда ключ из поля Public Key, а из PuTTYgen сохраняем себе приватный ключ user1
Теперь идем в Winbox Mikrotik
Создаем группу ssh-rdp в System-Users и пользователя user1 (именуйте по вашему усмотрению)
К сожалению, не нашел как отключить доступ в ssh по паролю, поэтому задаем безумный пароль, например salskd90-0asdjfs09w3021=suUUQWE)90qqds
Теперь копируем в Mikrotik наш публичный ключ user1.rsa и подключаем его пользователю.
В заключение, в терминале пишем пару команд:
/ip ssh set forwarding-enabled=local
/ip ssh set always-allow-password-login=yes
На этом настройка Mikrotik закончена. Я бы рекомендовал еще защитить ssh от подбора пароля, статей в интернете на эту тему полно.
Пишем батник для нашего юзера
Нам понадобится еще файлик plink, можно скачать с сайте Putty или взять в его папке C:\Program Files\PuTTY\ plink.exe
Создаем папку, куда копируем его в plink.exe, созданный нами ранее приватный ключ user1.ppk
Там же создаем cmd файл следующего содержания (предполагается, что RDP-сервер находится в локальной сети по адресу 192.168.0.100 на стандартном порту 3389
plink -ssh -batch -C -L 3390:192.168.0.100:3389 user1@example.com -i «user1.ppk» | mstsc /v:127.0.0.1:3390
exit
Первая команда plink -ssh -batch -C -L 3390:192.168.0.100:3389 user1@example.com -i «user1.ppk» запускает plink, который подключится к микротику, создаст ssh-туннель и пробросит порт 3390 локальной машины на порт 3389 RDP сервера за туннелем, а так же будет ждать завершения второй команды.
Вторая команда mstsc /v:127.0.0.1:3390 собственно, подключается к удаленному рабочему столу, а по завершению передаст управление обратно скрипту
В конце работы скрипта делаем exit
В результате, имеем в папке 3 файлика которые достаточно заархивировать и передать пользователю клиента.
MikroTik: Настройка удаленного доступа к роутеру извне
В этой статье мы рассмотрим настройку удаленного доступа к роутеру Mikrotik через интернет. Для работы системного администратора, который обслуживает сеть с филиалами – это необходимость, которая сэкономит время, облегчит поддержку инфраструктуру локальной сети организации.
Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.
Настройка удаленного доступа Mikrotik
Удаленно подключиться к Mikrotik можно несколькими способами, мы разберем настройку двух наиболее часто используемых:
- Через фирменную графическую утилиту Winbox;
- По протоколу SSH, при помощи сторонних приложений (например, Putty).
Чтобы осуществить подключение через интернет к Mikrotik, удаленный роутер должен иметь “белый” IP-адрес.
Давайте детально разберем в чем отличие этих методов удаленного подключения, на какие порты настроены данные сервисы, их плюсы и минусы.
Mikrotik. Удаленный доступ через Winbox
Чтобы подключиться к Микротику через Winbox, нужно в firewall открыть порт 8291. Для этого запустим фирменную утилиту (которую можно скачать с официального сайта) и перейдем:
- IP => Firewall => Filter Rules => “+”.
Добавим правило, разрешающее подключение извне на 8291 port:
- Chain: input;
- Protocol: 6 (tcp);
- Dst. Port: 8291
Перейдем на вкладку Action:
- Action: accept.
Разместим созданное правило выше запрещающего:
Таким образом, подключение к Mikrotik из интернета через Winbox разрешено. Данный способ позволяет удаленно настраивать оборудование в графическом режиме, что упрощает работу начинающим инженерам.
Mikrotik. Удаленный доступ по протоколу SSH
Также удаленное подключение до Mikrotik можно осуществить, используя протокол SSH, настроить и выполнить диагностику устройства из командной строки.
Удаленное подключение по SSH запуститься даже при слабом интернет-канале, когда нет возможности выполнить соединение с маршрутизатором, используя Winbox.
Чтобы настроить Mikrotik для удаленного подключения из интернета по протоколу SSH, нужно открыть 22 port. Делается это аналогичным способом, описанным выше. Поэтому мы просто скопируем ранее созданное правило, изменив порт:
- IP => Firewall => Filter Rules;
- Двойным нажатием откроем ранее созданное правило.
Изменим значение Dst. Port на 22:
Разместим его выше блокирующего правила:
На этом настройка удаленного подключения, используя SSH соединение, закончена. Давайте проверим, для этого скачаем приложение Putty и запустим:
- Host Name (or IP address) — указываем внешний IP Mikrotik;
- Нажимаем “Open”.
Вводим логин и пароль:
Для маршрутизатора Mikrotik удаленный доступ подключения используя SSH настроен и работает.
Ограничение удаленных подключений
В текущей конфигурации Mikrotik удаленный доступ предоставлен всем желающим, что негативно сказывается на безопасности. В современном мире смена стандартного порта, на котором работает сервис (например, Winbox) является слабой защитой. Как обезопасить роутер от сканирования и проникновения мы рассмотрим в статье MikroTik настройка firewall.
Чтобы минимально обезопасить маршрутизатор, мы можем прописать IP-адреса, которым разрешено подключение. Для этого откроем:
- IP => Services.
В открывшемся окне мы видим название сервисов (Name) и номер порта (Port) которое оно использует. Рекомендуем отключить все сервисы, которыми не собираетесь пользоваться.
Двойным нажатием на строчку сервиса Winbox, откроем его настройки и приведем к следующему виду:
- Name: Winbox – название сервиса;
- Port: 8291 – номер порта, который использует сервис. При желании можем указать свой;
- Available From: 192.168.13.0/24 – разрешаем подключение из локальной сети;
- 1.1.1.1 – вместо этого указываем IP-адрес с которого будем подключаться к оборудованию.
А также рекомендуем изучить статьи:
На этом настройка удаленного доступа Mikrotik закончена. Надеюсь, данная статья была вам полезна. Если возникли вопросы пишите в комментарии.
Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.
Инструкции по настройке MikroTik
SSH подключение к MikroTik без пароля с помощью ключа RSA
Данная реализация решает вопрос, когда нужно подключиться к MikroTik и выполнить какой-то сценарий. Это может быть или удаленная команда или скрипт. Для настройки будет использоваться такая последовательность действий:
- Генерация ключа через Putty;
- Импорт ключа в MikroTik;
- SSH подключение без пароля.
Что такое SSH
SSH — сетевой протокол прикладного уровня, позволяющий производить удалённое управление операционной системой и туннелирование TCP-соединений. Схож по функциональности с протоколами Telnet и rlogin, но, в отличие от них, шифрует весь трафик, включая и передаваемые пароли.
Преимущества использования SSH:
- Позволяет работать удаленно на компьютере через командную оболочку;
- Шифрование осуществляется с помощью различных алгоритмов;
- SSH позволяет безопасно передавать практически любой сетевой протокол, это дает возможность передавать по шифрованному каналу звуковые и видео файлы;
- Сжимает файлы для их последующего шифрования и передачи;
- Защищает передачу данных по каналу и практически предотвращает любую возможность включения в установленную сессию и перехватить данные.
Подключение к MikroTik через SSH Putty
В рамках инструкции будет использоваться предустановленный Windows Putty , в котором достаточно сгенерировать SSH ключ, который позволит подключаться к маршрутизатору(роутеру) MikroTik только используя имя пользователя(user name). Такое беспарольное подключение даст возможность автоматизировать разные процессы в MikroTik.
Генерация ключа RSA в MikroTik
Выделенный фрагмент нужно вставить в текстовый файл, в данном случае SSH-Rsa-User-Key.txt, который будет импортирован в MikroTik.
Сохранение ключа RSA, расширение ppk
А сгенерованный ключ SSH-Rsa-User-Key.ppk сохранить на локальном узле для дальнейшего подключения через SSH.
Загрузка ключа RSA в MikroTik txt
Поддержи автора статьи, сделай клик по рекламе ↓↓↓
Импорт ключа для подключения SSH
Со стороны клиента будут сохранены 3 файла:
- SSH-Rsa-User-Key.ppk – сгенерированный ключ RSA;
- SSH-Task.txt – скрипт на выполнение:
- SSH-Task.cmd – командный файл содержащий код
SSH-Rsa-User – пользователь на роутере MikroTik;
8.8.8.8 – внешний IP роутера;
22959 – SSH порт;
SSH-Rsa-User-Key.ppk – расположение ключа RSA;
SSH-Task.txt – скрипт на выполнение.
Попытка подключения через SSH в MikroTik
В случае отсутствии записей в реестре об используемом ключе RSA необходимо добавить соответствующую запись, согласно выводимому предупреждению.
Результат беспарольного выполнения скрипта
Обычное подключение через SSH
Поддержи автора статьи, сделай клик по рекламе ↓↓↓
Есть вопросы или предложения по настройке SSH подключения к MikroTik без пароля? Активно предлагай свой вариант настройки! Оставить комментарий →