RDP zablokowany przez dostawcę Internetu

RDP zablokowany przez dostawcę Internetu wskazuje na filtrowanie portu 3389 przez ISP jako środek ochrony przed atakami brute-force.

RDP zablokowany przez dostawcę Internetu – czym jest problem

RDP, czyli Remote Desktop Protocol, służy do zdalnego łączenia się z komputerem z systemem Windows. Po poprawnym skonfigurowaniu można wyświetlać pulpit, uruchamiać programy i wykonywać czynności administracyjne tak, jak przy bezpośredniej pracy przy urządzeniu. Gdy połączenie przestaje działać, a komputer pozostaje dostępny lokalnie, jedną z przyczyn może być filtrowanie ruchu przez dostawcę Internetu. W takim przypadku nie musi występować awaria systemu Windows, routera ani samego komputera.

Najczęściej podejrzenie pada na port 3389, który jest domyślnie kojarzony z usługą RDP. Dostawca Internetu może ograniczać dostęp do tego portu w określonych kierunkach, na przykład do połączeń przychodzących z sieci zewnętrznej. Takie działanie ma zmniejszać ryzyko automatycznych prób logowania, skanowania adresów oraz ataków brute-force. W praktyce objaw może wyglądać różnie: połączenie nie jest nawiązywane, klient RDP długo oczekuje na odpowiedź, pojawia się komunikat o niedostępności komputera albo połączenie działa wyłącznie w sieci lokalnej.

Określenie „RDP zablokowany przez dostawcę Internetu” nie oznacza jeszcze potwierdzonej winy operatora. Jest to opis sytuacji, w której filtrowanie po stronie sieci dostępowej pozostaje jedną z realnych hipotez. Podobny efekt może powodować wyłączona usługa pulpitu zdalnego, nieprawidłowe przekierowanie portu, zapora sieciowa, zmienny adres publiczny, podwójny NAT albo ograniczenia nałożone przez administratora sieci.

RDP zablokowany przez dostawcę Internetu a działanie portu 3389

W typowym połączeniu zdalny komputer znajduje się za routerem. Router otrzymuje żądanie z Internetu i na podstawie reguły przekierowania kieruje je do właściwego urządzenia w sieci lokalnej. Jeżeli usługa nasłuchuje na porcie 3389, a zapora dopuszcza ruch, klient RDP powinien otrzymać odpowiedź. Wystarczy jednak, aby jeden z elementów tej ścieżki odrzucał pakiety, a z zewnątrz połączenie będzie wyglądało jak niedostępne.

Filtrowanie może być realizowane na kilku poziomach. Operator może blokować określony port przychodzący, stosować zasady bezpieczeństwa dla całych zakresów adresów albo umieszczać abonenta za współdzielonym adresem publicznym. W tym ostatnim wariancie połączenia przychodzące nie trafiają bezpośrednio do konkretnego routera, ponieważ jeden adres jest używany przez wielu odbiorców. Samo przekierowanie portu w urządzeniu użytkownika nie rozwiąże wtedy problemu.

Warto odróżnić blokadę portu od blokady usługi. Port 3389 jest tylko punktem komunikacji, natomiast RDP jest protokołem obsługiwanym przez system Windows. Zmiana portu na inny może pomóc w przypadku prostego filtrowania konkretnego numeru, ale nie będzie skuteczna przy współdzielonym adresie, braku publicznego adresu albo blokadzie całego ruchu przychodzącego. Nie należy też traktować zmiany portu jako pełnego zabezpieczenia, ponieważ nietypowy numer nie ukrywa samej usługi.

Do wstępnego porównania można użyć kilku testów. Połączenie wykonane z tej samej sieci lokalnej może działać, podczas gdy próba z sieci komórkowej kończy się niepowodzeniem. Jeśli połączenie przez bezpieczny tunel do tej samej sieci działa prawidłowo, problem może dotyczyć sposobu wystawienia usługi na Internet. Jeżeli nie działa także wewnątrz sieci, trzeba najpierw sprawdzić komputer, usługę RDP i lokalne reguły zapory.

Najczęstsze problemy przy haśle RDP zablokowanym przez ISP

• Brak publicznego adresu IPv4 – router może otrzymywać adres z prywatnego zakresu, przez co ruch przychodzący nie dociera bezpośrednio do sieci użytkownika.

• Podwójny NAT – między komputerem a Internetem znajdują się dwa urządzenia routujące i przekierowanie zostało ustawione tylko na jednym z nich.

• Nieprawidłowe przekierowanie – reguła wskazuje dawny adres komputera, niewłaściwy protokół albo inny port niż ten, na którym działa usługa.

• Zapora systemu Windows – usługa może być aktywna, lecz reguła zapory nie zezwala na połączenia z danej sieci lub profilu.

• Wyłączony Pulpit zdalny – po aktualizacji, zmianie zasad bezpieczeństwa albo przywróceniu ustawień funkcja może przestać przyjmować połączenia.

• Zmiana adresu publicznego – przy dynamicznym adresie zapisany wcześniej adres może prowadzić do innej lokalizacji albo nie prowadzić już nigdzie.

• Ograniczenia sieci firmowej lub publicznej – połączenie wychodzące może być blokowane w miejscu, z którego wykonywana jest próba logowania.

• Niedostępność komputera – urządzenie może być wyłączone, uśpione, odłączone od sieci albo mieć problem z kartą sieciową.

Znaczenie ma również dokładny komunikat klienta. Informacja o braku połączenia z komputerem może wskazywać na filtrację lub błąd trasy, ale komunikat o odrzuconych poświadczeniach odnosi się raczej do logowania. Gdy pulpit pojawia się dopiero po długim oczekiwaniu, możliwe jest filtrowanie pakietów bez szybkiego zwracania błędu. Nie daje to jednak pewności bez porównania kilku punktów dostępu i sprawdzenia konfiguracji.

Jak sprawdzić, czy RDP zablokowany przez dostawcę rzeczywiście nie odpowiada

Diagnostykę należy rozpocząć od ustalenia, czy komputer jest osiągalny w sieci lokalnej. Można sprawdzić nazwę urządzenia, jego aktualny adres lokalny oraz stan usługi Pulpit zdalny. Następnie warto zweryfikować regułę przekierowania na routerze i upewnić się, że wskazuje właściwy adres. Adres lokalny komputera powinien być stabilny, ponieważ po ponownym uruchomieniu routera urządzenie może otrzymać inny adres.

Kolejnym krokiem jest porównanie próby połączenia z dwóch różnych sieci. Test z tej samej sieci Wi-Fi nie potwierdza dostępności z Internetu, a niektóre routery nie obsługują poprawnie połączeń kierowanych na własny publiczny adres. Lepsze informacje daje test wykonany z zewnętrznej sieci, na przykład z użyciem transmisji komórkowej, przy zachowaniu zasad bezpieczeństwa i bez wielokrotnego powtarzania nieudanych logowań.

Można też sprawdzić, czy port odpowiada, ale wynik takiego testu trzeba interpretować ostrożnie. Brak odpowiedzi może oznaczać filtrację u operatora, blokadę na routerze, zaporę na komputerze lub wyłączoną usługę. Odpowiedź portu nie jest równoznaczna z poprawnym logowaniem. Testy powinny być prowadzone tylko wobec własnych urządzeń i własnego łącza.

Jeśli podejrzewa się ograniczenie po stronie ISP, należy sprawdzić warunki usługi internetowej i zapytać operatora o publiczny adres, ruch przychodzący oraz ewentualne filtrowanie. Warto przekazać dokładny opis: czy RDP działa lokalnie, czy zmienia się adres publiczny, jaki jest model połączenia oraz czy problem występuje z każdej zewnętrznej sieci. Tak przygotowane zgłoszenie jest bardziej użyteczne niż samo stwierdzenie, że „zdalny pulpit nie działa”.

Bezpieczne rozwiązania zamiast wystawiania RDP na Internet

Bezpośrednie udostępnianie RDP w Internecie zwiększa powierzchnię ataku. Nawet przy silnym haśle pozostaje konieczność ochrony kont, aktualizacji systemu, ograniczenia uprawnień i monitorowania prób logowania. Należy unikać kont bez hasła, prostych danych dostępowych oraz pozostawiania otwartego dostępu dla całego Internetu, jeżeli nie jest to niezbędne.

Bezpieczniejszym podejściem bywa zestawienie tunelu VPN i uruchamianie RDP dopiero po uzyskaniu dostępu do zaufanej sieci. Wtedy port usługi nie musi być wystawiony publicznie. Inną możliwością jest użycie rozwiązania pośredniczącego, które zestawia połączenie wychodzące z komputera i nie wymaga przyjmowania połączeń przychodzących. Dobór metody zależy od systemu, poziomu wymaganej kontroli, liczby urządzeń oraz zasad bezpieczeństwa.

W środowisku domowym można również ograniczyć dostęp do wybranych adresów źródłowych, o ile są one stałe i znane. Trzeba przy tym pamiętać o aktualizacjach, kopiach zapasowych i ochronie kont. Samo przestawienie RDP na inny port może zmniejszyć liczbę przypadkowych skanów, lecz nie zastępuje uwierzytelniania wieloskładnikowego, filtrowania dostępu ani prawidłowej konfiguracji zapory.

Kiedy zgłosić RDP zablokowany przez dostawcę do serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy RDP działało wcześniej, a po zmianie routera, operatora lub konfiguracji przestało odpowiadać, gdy nie wiadomo, czy występuje publiczny adres, albo gdy połączenie lokalne i zewnętrzne dają różne wyniki. Pomoc może obejmować rozdzielenie problemu na warstwę komputera, routera i łącza, sprawdzenie usługi, zapory, adresacji oraz przekierowania, a następnie przygotowanie bezpieczniejszego sposobu dostępu.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić taką diagnostykę wraz z uporządkowaniem konfiguracji zdalnego dostępu. Przed przekazaniem urządzenia warto przygotować opis objawów, informację o tym, czy połączenie działa lokalnie, oraz dane dotyczące ostatnich zmian w sieci. Nie powinno się przesyłać haseł w wiadomości ani pozostawiać aktywnego dostępu bez ustalenia, kto i w jakim zakresie będzie go używać.

Jeżeli problem pojawił się nagle i towarzyszą mu nieznane konta, nietypowe logowania, samoczynne zmiany ustawień albo blokady użytkownika, priorytetem powinno być odłączenie dostępu z Internetu i zabezpieczenie kont. Dopiero po zebraniu informacji można ustalić, czy przyczyną jest filtracja dostawcy, błąd konfiguracji, awaria sieci czy próba nieuprawnionego dostępu.