تنظیمات ریموت دسکتاپ در میکروتیک یکی از روشهای رایج برای دسترسی به سیستمهای داخل شبکه از طریق اینترنت است. در بسیاری از سازمانها یا حتی شبکههای خانگی، مدیر شبکه یا کاربر نیاز دارد که بدون حضور فیزیکی در محل، به کامپیوتر داخل شبکه متصل شود و آن را مدیریت کند. قابلیت Remote Desktop در ویندوز این امکان را فراهم میکند که کاربر از راه دور به محیط سیستم دسترسی داشته باشد؛ اما زمانی که سیستم مورد نظر پشت یک روتر قرار دارد، برای برقراری این ارتباط باید تنظیماتی روی روتر انجام شود.
روترهای MikroTik به دلیل امکانات گسترده در مدیریت شبکه، امکان هدایت ترافیک ورودی از اینترنت به یک سیستم مشخص داخل شبکه را فراهم میکنند. این کار معمولاً از طریق قابلیتی به نام Port Forwarding یا dst-nat در فایروال میکروتیک انجام میشود. با استفاده از این تنظیمات میتوان درخواستهای Remote Desktop که از اینترنت وارد روتر میشوند را به کامپیوتر مورد نظر در شبکه داخلی منتقل کرد.
در این آموزش قصد داریم به صورت مرحلهبهمرحله نحوه فعالسازی و تنظیم دسترسی Remote Desktop از طریق روتر MikroTik را بررسی کنیم.
چرا اتصال به ویندوز از طریق mikrotik ؟
در برخی سناریوها مدیر شبکه برای مدیریت سیستمهای داخلی نیاز دارد از خارج شبکه به آنها دسترسی داشته باشد. یکی از رایجترین روشها برای این کار اتصال به ویندوز از طریق MikroTik و استفاده از سرویس Remote Desktop است. در این حالت با انجام تنظیمات Port Forward در روتر شبکه، درخواستهایی که از اینترنت وارد شبکه میشوند به سیستم مورد نظر هدایت خواهند شد. معمولاً برای این کار اقدام به باز کردن پورت 3389 در میکروتیک میشود تا کاربران بتوانند از طریق برنامه Remote Desktop به سیستم ویندوزی داخل شبکه متصل شوند.
البته در کنار این موضوع، مدیر شبکه ممکن است برای مدیریت تجهیزات شبکه نیز نیاز به ریموت زدن به میکروتیک داشته باشد که این کار معمولاً با ابزارهایی مانند Winbox یا WebFig انجام میشود. با این حال به دلیل مسائل امنیتی بهتر است دسترسیهای غیرضروری به این پورت محدود یا در صورت عدم نیاز مسدود شوند تا احتمال سوءاستفاده از این سرویس کاهش پیدا کند.
مراحل تنظیم Port Forward برای RDP در MikroTik
برای اینکه بتوانیم از خارج شبکه به یک سیستم داخل شبکه از طریق Remote Desktop متصل شویم، باید در روتر MikroTik عملی به نام Port Forwarding انجام دهیم. قبل از شروع تنظیمات لازم است با دو مفهوم مهم یعنی IP Public و Port آشنا شویم.
IP Public آدرسی است که توسط شرکت ارائهدهنده اینترنت (ISP) در اختیار ما قرار میگیرد. این آدرس در اینترنت قابل دسترسی است و سایر کاربران اینترنت میتوانند از طریق آن به شبکه ما متصل شوند. در واقع IP Public هویت شبکه ما در اینترنت محسوب میشود.
در کنار IP، مفهوم Port نیز اهمیت دارد. هر سرویس شبکه از یک شماره پورت مشخص استفاده میکند. به عنوان مثال سرویس Remote Desktop در حالت پیشفرض از پورت 3389 استفاده میکند. بنابراین اگر بخواهیم از بیرون شبکه به یک سیستم داخلی ریموت شویم، باید درخواستهایی که به پورت 3389 ارسال میشوند را به سیستم مورد نظر در شبکه داخلی هدایت کنیم.
برای درک بهتر، فرض کنید در شبکه داخلی خود یک سرور با مشخصات زیر داریم:
- IP سرور در شبکه داخلی: 172.16.30.25
- سرویس مورد استفاده: Remote Desktop
- پورت سرویس: 3389
در چنین شرایطی باید روی روتر MikroTik تنظیمی انجام دهیم که هر زمان درخواستی از اینترنت به IP Public ما و روی پورت 3389 ارسال شد، این درخواست به سرور داخلی با آدرس 172.16.30.25 هدایت شود. این کار از طریق ایجاد یک NAT Rule در میکروتیک انجام میشود.
در ادامه مراحل انجام این تنظیمات را بررسی میکنیم.
مرحله اول: ورود به بخش NAT در MikroTik
ابتدا وارد محیط مدیریتی MikroTik از طریق Winbox یا WebFig شوید. سپس از مسیر زیر وارد تنظیمات NAT شوید:
IP → Firewall → NAT
در این بخش برای ایجاد یک قانون جدید روی علامت + (Add) کلیک کنید.
مرحله دوم: تنظیمات تب General
پس از ایجاد Rule جدید، در تب General تنظیمات زیر را انجام دهید:
Chain: گزینه dstnat را انتخاب کنید، زیرا اتصال از خارج شبکه به داخل شبکه برقرار میشود.
Dst. Address: در این قسمت IP Public خود را وارد کنید.
Protocol: گزینه tcp را انتخاب کنید.
Dst. Port: شماره پورت سرویس مورد نظر یعنی 3389 را وارد کنید.
نکته: اگر قصد دارید روی همان IP Public چند سرویس مختلف را Port Forward کنید، بهتر است هر سرویس را با پورت مخصوص خود تعریف کنید تا تداخلی ایجاد نشود.
مرحله سوم: تنظیمات تب Action
بعد از انجام تنظیمات تب General، وارد تب Action شوید و تنظیمات زیر را انجام دهید:
Action: گزینه dst-nat را انتخاب کنید.
To Addresses: در این قسمت IP داخلی سرور را وارد کنید (در مثال ما 172.16.30.25).
To Ports: شماره پورت سرویس یعنی 3389 را وارد کنید.
در نهایت روی OK کلیک کنید تا Rule ایجاد شود.
پس از انجام این مراحل، قانون NAT در روتر فعال میشود و از این به بعد هر درخواستی که از اینترنت به IP Public شما و روی پورت 3389 ارسال شود، به سرور داخلی هدایت خواهد شد. بنابراین میتوانید از هر نقطه خارج از شبکه با استفاده از برنامه Remote Desktop Connection و وارد کردن IP Public به سرور خود متصل شوید.
بستن پورت ریموت دسکتاپ در میکروتیک
در برخی مواقع مدیر شبکه تصمیم میگیرد دسترسی Remote Desktop (RDP) از طریق اینترنت را غیرفعال کند. تغییر پورت ریموت در mikrotik معمولاً زمانی انجام میشود که دیگر نیازی به دسترسی از راه دور وجود ندارد یا برای افزایش امنیت شبکه قصد داریم پورت ریموت دسکتاپ را ببندیم. اگر قبلاً برای اتصال از بیرون شبکه به یک سیستم داخلی، در MikroTik قانون Port Forwarding برای پورت 3389 ایجاد کرده باشیم، برای بستن این دسترسی باید همان قانون را غیرفعال یا حذف کنیم.
روش اول تغییر تنظیمات ریموت دسکتاپ در میکروتیک
اولین روش برای بستن پورت ریموت دسکتاپ، غیرفعال کردن قانون NAT است. برای انجام این کار ابتدا وارد محیط مدیریتی MikroTik از طریق Winbox یا WebFig شوید. سپس از مسیر زیر وارد بخش NAT شوید:
IP → Firewall → NAT
در این قسمت لیستی از قوانین NAT نمایش داده میشود. قانونی را که برای پورت 3389 یا سرویس Remote Desktop ایجاد کردهاید پیدا کنید. سپس میتوانید با انتخاب آن و کلیک روی گزینه Disable این قانون را غیرفعال کنید. با غیرفعال شدن این Rule دیگر درخواستهای ورودی به پورت 3389 به سیستم داخلی هدایت نخواهند شد.
روش دوم تغییر تنظیمات ریموت دسکتاپ در میکروتیک
روش دوم حذف کامل Rule است. در همان بخش NAT میتوانید Rule مربوط به پورت 3389 را انتخاب کرده و گزینه Remove را بزنید. در این حالت تنظیم Port Forward به طور کامل از روتر حذف میشود و اتصال ریموت دسکتاپ از اینترنت امکانپذیر نخواهد بود.
در برخی شبکهها ممکن است مدیر شبکه بخواهد برای افزایش امنیت ریموت دسکتاپ در روتر میکروتیک، علاوه بر حذف Port Forward، دسترسی به این پورت را در Firewall نیز مسدود کند. برای این کار میتوان در بخش Firewall یک Rule برای Drop کردن ترافیک پورت 3389 ایجاد کرد تا هرگونه درخواست ورودی به این پورت مسدود شود.
بستن پورت Remote Desktop یکی از اقدامات مهم در افزایش امنیت شبکه محسوب میشود، زیرا پورت 3389 یکی از پورتهایی است که معمولاً هدف حملات اینترنتی قرار میگیرد. بنابراین اگر نیازی به دسترسی ریموت از بیرون شبکه ندارید، بهتر است این پورت را در روتر MikroTik غیرفعال یا مسدود کنید.
جمع بندی
در این مقاله نحوه تنظیمات ریموت دسکتاپ در میکروتیک را بررسی کردیم. همانطور که گفته شد برای اتصال به ویندوز از طریق MikroTik لازم است ابتدا سرویس Remote Desktop در سیستم مقصد فعال باشد و سپس با استفاده از قابلیت NAT یا Port Forwarding در روتر، درخواستهای ورودی از اینترنت به سیستم مورد نظر هدایت شوند. در این فرآیند معمولاً باز کردن پورت 3389 در میکروتیک انجام میشود تا امکان اتصال از خارج شبکه فراهم شود.
همچنین اشاره شد که در صورت عدم نیاز به این دسترسی، مدیر شبکه میتواند با غیرفعال کردن یا حذف Rule مربوطه در بخش NAT، پورت ریموت دسکتاپ را مسدود کند تا از دسترسیهای ناخواسته جلوگیری شود. در کنار این موارد، آشنایی با روشهای مدیریت تجهیزات شبکه مانند ریموت زدن به میکروتیک نیز به مدیران شبکه کمک میکند تا کنترل بهتری روی زیرساخت شبکه داشته باشند.
در نهایت باید توجه داشت که باز بودن پورتهای مدیریتی در اینترنت میتواند ریسکهای امنیتی ایجاد کند؛ بنابراین توصیه میشود در صورت امکان از روشهای امنتر مانند VPN برای دسترسی از راه دور استفاده شود تا امنیت شبکه در سطح بالاتری حفظ شود.
سوالات متداول
آیا میتوانم از طریق MikroTik به چند کامپیوتر ریموت بزنم؟
بله، این کار امکانپذیر است. برای این کار باید برای هر کامپیوتر داخل شبکه یک Rule جداگانه در بخش NAT ایجاد کنید. معمولاً برای جلوگیری از تداخل، از پورتهای متفاوت استفاده میشود. به عنوان مثال میتوان پورت 3389 را به یک سیستم و پورتهای دیگری مانند 3390 یا 3391 را به سیستمهای دیگر در شبکه داخلی هدایت کرد تا امکان اتصال به چند کامپیوتر از طریق اینترنت فراهم شود.
پورت 3389 را در MikroTik باز کردم ولی هنوز وصل نمیشوم، چرا؟
دلایل مختلفی میتواند باعث این مشکل شود. ممکن است سرویس Remote Desktop در ویندوز فعال نباشد، فایروال ویندوز اتصال را مسدود کرده باشد، یا IP داخلی سیستم به درستی در Rule وارد نشده باشد. همچنین اگر IP Public نداشته باشید یا Rule فایروال در MikroTik اتصال را بلاک کند، امکان اتصال برقرار نخواهد شد.
آیا استفاده از VPN بهتر از فوروارد کردن پورت است؟
در بسیاری از موارد استفاده از VPN گزینه امنتری محسوب میشود. زمانی که پورت Remote Desktop به صورت مستقیم در اینترنت باز باشد، احتمال حملات امنیتی بیشتر میشود. اما با استفاده از VPN کاربر ابتدا به شبکه متصل شده و سپس مانند یک کاربر داخلی به سیستمهای شبکه دسترسی پیدا میکند.
چگونه متوجه شوم که Rule در MikroTik بهدرستی کار میکند؟
برای بررسی عملکرد Rule میتوانید در بخش Firewall و قسمت NAT مقدار Counter مربوط به Rule را مشاهده کنید. اگر هنگام تلاش برای اتصال این مقدار افزایش پیدا کند، نشان میدهد که درخواستها به Rule مورد نظر رسیدهاند. همچنین بررسی Logها و تست اتصال از خارج شبکه میتواند به تشخیص درست کار کردن تنظیمات کمک کند.
