RDP zusätzlich absichern

[Knopper67]

Hallo,
ich lese mich gerade etwas um das Thema RDP ein. Grundsätzlich ist klar, dass man keinen Windows Server direkt mit RDP am offnen Internet betreiben sollte. Oft wird daher scheinbar ein VPN als Best Pratice empfohlen. Sprich erstmal über eine VPN-Lösung zum Server verbinden und erst dann via RDP. Nun bin ich noch über die Funktion eines Desktop Services Remotedesktopgateway im Windows Server gestolpert.

Auf http://www.searchsecurity.de/tipp/Remote-Desktop-Protocol-RDP-Netzwerk-Endpunkte-richtig-absichern steht dazu: "Noch besser ist es, ein Gateway für Remote-Desktops zu schaffen: Dieses erlaubt Remote-Verbindungen über HTTPS, so dass RDP eine sicherere und verschlüsselte Verbindung zum Endpunkt aufbauen kann.".
Also statt, dass immer alls nur über RDP verschlüsselt und transportiert wird, wird als zusätzliche Schicht noch HTTPS bis zu dem Gateway verwendet. Was ich nun nicht ganz verstehe: wieso ist HTTPS da sicherer als RDP?
In RDP kann ich auch einstellen, dass TLS 1.0 immer verwendet wird. Und mittels NLA kann man laut einer Internetquelle auch Man in the middle Attacken (zumindest welche mit Cain and Abel begangen werden) verhindern.

Daher meine Frage: welche erhöhte Sicherheit habe durch den Einsatz eines Remotedesktopgateway im Vergleich zu einem normalen RDP-Zugang, welcher gehärtet ist (gehärtet im Sinne von TLS und NLA werden erzwungen, etc.).

Einzelne Vorteile führt Microsoft hier auf: https://technet.microsoft.com/en-us/library/cc731150.aspx
Bei Unternehmen kann ich es daher vollkommen verstehen. Mich würde das aber im Kontext von einem einzelnen Server bzgl. der Sicherheit interessieren.

EDIT//
https://security.berkeley.edu/resou...ring-remote-desktop-rdp-system-administrators
https://serverfault.com/questions/381184/how-to-secure-a-public-facing-remote-desktop-server
Ok, ein Vorteil ist wohl, dass bei Einsatzes eines Gateways der RDP-Port nicht direkt erreichbar ist, da er sich hinter dem Gateway versteckt und das Gateway nur über 443 erreichbar ist. Das macht dann natürlich schon einiges aus.

 

[konkretor]

Sicher kannst du das mit dem Remotedesktopgateway deine Sicherheitsfrage lösen, finde das aber etwas mit Kanonen auf Spatzen geschossen. Vom Aufwand her mal abgesehen oder?


SSL VPN ist jetzt recht schnell eingerichtet und von jeder Windows Maschine aus nutzbar

https://blog.netnerds.net/2015/02/setup-an-sstp-ssl-vpn-in-windows-server-2012-r2/

 

[Knopper67]

Natürlich ist das mit VPN schneller und einfacher zu lösen. Hier geht es auch nur um die Theorie bzw. dass ich meinen Wissenshorizont erweitern möchte. RDP setze ich bisher privat nur ein, um im Familienumfeld zu helfen. Dafür ist dann auch immer ein S2S-VPN mit den FritzBoxen vorhanden und dadurch entsprechend abgesichert.

 

[konkretor]

Es gibt ja noch mehr Möglichkeiten auf den RDP Port vom Server zugreifen zu können


schau dir das mal an, da kannst du RDP in jedem Browser haben. HTML5 machts möglich

Eine Lizenz ist für zuhause frei


http://www.cybelesoft.com/thinfinity/remote-desktop/workstation/


Gibt auch eine ähnliche Lösung für Linux, nur etwas schwer einzurichten wenn man SSL drauf haben will.

http://guacamole.incubator.apache.org/

 

[d4nY]

Ok, ein Vorteil ist wohl, dass bei Einsatzes eines Gateways der RDP-Port nicht direkt erreichbar ist, da er sich hinter dem Gateway versteckt und das Gateway nur über 443 erreichbar ist. Das macht dann natürlich schon einiges aus.

Das lässt sich mit jedem Router auch bewerkstelligen, einfach eine Port-Umleitung eingerichtet von z.B. 60123 auf 3389. Niemand weiß was sich hinter 60123 verbirgt, es wird bei Scans ja nur angezeigt dass da ein Port offen ist, man könnte also sagen dass das sogar noch sicherer ist als das Gateway, weil man bei 443 zumindest davon ausgeht, dass ein Webserver dahinter hängt.

Das Kapseln von HTTPS hat mMn zwei klare Vorteile:
a) HTTPS kann zum TLS1.1 und 1.2, dazu bekannte Verschlüsselungsverfahren wie AES und RSA. Ist bei RDP afaik alles proprietär und TLS1.0 ist mittlerweile auch nicht mehr wirklich zu empfehlen
b) HTTPS wird nirgends blockiert. Es kommt oft vor dass Ports blockiert werden. 443 und 80 werden aber mit an Sicherheit grenzender Wahrscheinlichkeit niemals blockiert werden, weil man die ja zum surfen braucht. RDP oder auch VPN-Dienste können aber schon gerne mal blockiert werden

Das RD-Gateway ist aber auch eher für RD-Hosts und VDI gedacht als für Administrative Zwecke, insofern kann man VPN und RD-Gateway nicht so wirklich nebeneinander stellen

 

[konkretor]

Es gibt auch die Möglichkeit des Port Knockings

http://www.admin-magazin.de/Das-Heft/2010/06/Remote-einloggen-mit-Port-Knocking

 

[Riseofdead]

wie hoch ist eigentlich die Chance das ein Windows über RDP "gehackt" wird? Würde gern einen Rechner mit RDP laufen lassen damit ich von außen zugreifen kann. Komme von Linux und dort konnte man einen id_rsa Key generieren und sich nur mit dem einloggen. Bei Windows muss man anscheinend die Methode mit Passwort versuchen.

VPN hab ich mal versucht aber ziemlich schnell wieder aufgegeben nachdem man 3 verschiedene Schlüssel generiert die alle für irgendwas anderes zuständig sind. Da blickte ich nicht mehr durch. Oder gibt es VPN wo man nur 1 Schlüssel braucht?