RDP, bir Windows makinesinin masaüstünü uzaktan kullanmayı sağlayan protokoldür. Yaygın sanılanın aksine ekranın görüntüsünü video gibi aktarmaz — bu ayrım, hem performansı hem de güvenlik yüzeyini anlamanın anahtarıdır.
Görüntü değil, çizim komutu
Uzak makine “şu anda ekranda şu pikseller var” demez. Bunun yerine “şu koordinata şu metni şu yazı tipiyle çiz”, “şu dikdörtgeni şu renge boya” gibi çizim komutları gönderir.
İstemci bu komutları kendi ekranında çalıştırır. Sonuç, aktarılan veri miktarının bir video akışına göre çok daha küçük olmasıdır; metin ağırlıklı bir ekran, saniyede birkaç kilobayta sığabilir.
Bu tasarımın sınırı da buradadır. Çizim komutuyla anlatılamayan içerik — video, oyun, sürekli değişen grafik — sıkıştırılmış görüntü olarak gönderilmek zorunda kalır ve trafik aniden yükselir. “RDP normalde akıcı ama video açınca donuyor” şikâyetinin nedeni budur.
Tek oturum mu, çok oturum mu
İki farklı kullanım aynı protokolü kullanır ve lisans açısından tamamen ayrılırlar.
Tek oturumlu uzak masaüstü, bir istemci işletim sisteminde tek bir kullanıcının konsolu devralmasıdır. İkinci bir kullanıcı bağlandığında birinci oturum kilitlenir.
Çok oturumlu uzak masaüstü hizmeti, bir sunucuda onlarca kullanıcının eşzamanlı ve birbirinden yalıtılmış oturum açmasıdır. Ayrı bir rol, ayrı bir lisans sunucusu ve ayrı bir kapasite planlaması ister.
Bu ikisini karıştırmak, en sık görülen projelendirme hatasıdır: on kullanıcının aynı anda çalışacağı bir uygulama, tek oturumlu bir makineye kurulur ve ilk gün tıkanır.
Sanal kanallar: ekranın yanında akan her şey
RDP yalnızca ekran taşımaz. Bağlantının içinde sanal kanallar vardır ve her biri ayrı bir şeyi aktarır: pano, yazıcı, ses, akıllı kart, sürücü eşlemesi ve USB yönlendirme.
Bunlar kullanışlıdır ve tam da bu yüzden veri sızıntısının en sessiz yoludur. Yalıtılmış olduğunu sandığınız bir sunucudan pano üzerinden dosya kopyalanabilir, eşlenmiş yerel diske veri yazılabilir.
Kurumsal kurulumlarda ilk yapılacak iş, hangi kanalın gerçekten gerektiğine karar vermek ve gerisini kapatmaktır. Karar çerçevesi en az yetki ilkesi yazısındaki mantığın aynısıdır.
3389 portu ve internet
RDP öntanımlı olarak 3389 numaralı portu dinler. Bu port internete açıldığında, saldırganların değil tarayıcıların hedefi olur: makine dakikalar içinde otomatik denemelerin listesine girer.
Fidye yazılımı vakalarında en sık görülen ilk giriş yollarından biri budur; zincirin tamamı fidye yazılımı nasıl bulaşır yazısında.
Portu değiştirmek çözüm değildir — yalnızca gürültüyü azaltır. Gerçek çözüm, RDP’yi doğrudan yayınlamamaktır; yöntemleri RDP’yi internete açmadan yayınlamak rehberinde.
Ağ düzeyinde kimlik doğrulama
Bağlantının nasıl kurulduğu güvenlik açısından belirleyicidir. Ağ düzeyinde kimlik doğrulama açıkken kullanıcı, oturum masaüstü hazırlanmadan önce doğrulanır.
Kapalıyken sunucu her bağlantı isteği için bir oturum ayağa kaldırır ve giriş ekranını çizer. Bu, doğrulanmamış bir tarafın sunucuda kaynak harcatabilmesi demektir — hem hizmet dışı bırakmaya hem de bazı istismarlara zemin hazırlar.
Yanında ikinci bir katman daha vardır: sunucu kimliğinin sertifikayla doğrulanması. Öntanımlı kendinden imzalı sertifika, kullanıcıyı her bağlantıda bir uyarıya alıştırır — ve uyarıya alışan kullanıcı, gerçek bir araya girme saldırısını da onaylar. Sertifika mantığı TLS sertifikası nasıl çalışır yazısında.
Neden yavaş hissettiriyor
Uzak masaüstünde algılanan hız, bant genişliğinden çok gecikmeye bağlıdır. Her tuş vuruşu karşıya gider, ekran değişikliği geri gelir; bu gidiş dönüş 40 milisaniyeyi geçtiğinde yazmak rahatsız edici olmaya başlar.
Bu yüzden hattı genişletmek çoğu zaman fark yaratmaz. Fark yaratan üç şey vardır: uzak makineyi kullanıcıya coğrafi olarak yaklaştırmak, gereksiz görsel efektleri kapatmak ve renk derinliğini düşürmek.
Bir de sessiz bir tuzak vardır: RDP’nin akış denetimi, kayıp paketleri ve kuyruk gecikmesini iyi karşılamaz. Hattı doldurmuş bir yedekleme işi, aynı hattaki oturumları belirgin biçimde bozar. Trafiği sınıflandırmanın karşılığı QoS: ses ve video için gerçek sınıflandırma yazısında.
Oturum yönetimi
Kullanıcılar oturumu kapatmaz, pencereyi kapatır. Kopan oturum sunucuda açık kalır ve belleği tutmaya devam eder.
Onlarca terk edilmiş oturum, sunucuyu yavaş yavaş tüketir. Bu yüzden kopan ve boşta kalan oturumlar için zaman aşımı tanımlanır; ayrıntısı ve tipik yan etkileri uzak oturum kopmaları rehberinde.
Kısaca
RDP, ekran görüntüsü değil çizim komutu aktarır; hafif olmasının da video karşısında tıkanmasının da nedeni budur.
Kurarken üç karar önemlidir: oturumun tek mi çok kullanıcılı olacağı, hangi sanal kanalların açık kalacağı, ve protokolün internete doğrudan açılmayacağı. Üçü de sonradan düzeltilmesi pahalı kararlardır.