windows 远程登录方案讨论

[fiskgge1992]

需求

在外部（主力 iOS/Windows ，偶尔 Android ）连上 Windows 主机。

家里环境

1. 路由器：有公网 IP ，有域名
2. NAS：做了 DDNS ，本地做了反向代理 + 路由器端口映射了各种 docker 服务
3. Windows 主机

目前使用过的方案

1. ToDesk

• 使用体验：无雷点
• 问题：2025 年开始需要付费，免费版每个月使用 1 分钟就强制下线

2. 向日葵

• 问题：被控设备显示器关闭后，控制端无法显示画面操作，等于用不了了

打算调研的方案

方案 1：NAS 自建 RustDesk 服务器

• Windows 开设客户端，外部设备下载客户端访问 Windows 主机
• 疑问：不知是否可行，还是说要在 Windows 里建立服务器才行？

方案 2：Windows 原生 RDP 服务

• Windows 开启原生 RDP 服务
• 路由作端口转发 3389 到一个特定大端口
• 外部通过 域名+大端口 访问
• 疑问：不确定安全性

方案 3：OpenVPN + RDP

• 疑问：不知是否有必要

方案 4：Parsec

• 问题：无 iOS 客户端

这个贴还是挺多老哥关心的，总结下目前的评论和收获

1. 方案 2 目前说是不太安全，原生 rdp 有漏洞，可能哪怕映射的大端口还是会被勒索攻击
2. mumu 远程，全新的方案，类似于几年前的 todesk ，唯一缺点是怕之后收费
3. 很多人都在推的 组网+rdp ，想问下组网是什么概念，额外包一层 vps 转发嘛？


我最后的决定：
1. 先用 mumu 试试看，直到 mumu 收费或者和 todesk 一样恶心人
2. 有空的话打算还是折腾 rdp ，目前有三种方案

rdp+wireguard
rdp+tailscale （类似于组网？）
rdp+openvpn/softether vpn 回家后局域网 rdp

安全程度应该最后一种更高，折腾难度不太清楚需要调研，最后感谢各位大佬的评论和支持，这个帖子我也会持续关注更新，方便有同样需求的老哥借鉴

[nullpoint007]

方案 3 + 小米智能插座， 远程加电 BIOS 设置加电自启动

[duyl328]

目前我使用的是阿里的服务器搭建 FRP ，然后搭配 NoMachine 使用

[jamesbond]

Rustdesk 还是不如 RDP 好用，tailscale 这种 UDP 包太容易被 Qos ，就正常搞个网页之类的还是 TCP 转发的 RDP 好用，至于安全问题，可以开个两步验证，弱密码加动态验证就很稳了

[gearfox]

@aminobody 同意

[y0unge]

@ChinaCN 真的好用 以前用 parsec 不用诱骗的话 要搞一通性能还不行，而且还墙。
用了 uu 不用管虚拟屏啥的 爽起飞

[miyuki]

@fiskgge1992 #20

包一层东西比裸奔好点吧，而且不用每次手动配置端口映射

[ollama]

@nullpoint007 小米智能插座有断电 BUG ，别用在电脑上……

[fiskgge1992]

@QS0x01 我靠 我就是这个打算，ipv4 的公网开个端口映射，这也不行啊

[fiskgge1992]

@565656 下面有老哥说改了端口映射被封了，好像有漏洞

[fiskgge1992]

@aileaile 我说了就是方案 2 ，但是有评论说端口映射了 20000+端口还是被勒索了

[fiskgge1992]

@prosgtsr 我目前的体验真的就是这样，没必要故意黑，可能针对不同用户不一样吧

[allplay]

@twofox RDP 的问题不在策略，而在漏洞！

[565656]

@fiskgge1992 #109 ？？我一直用的阿里云腾讯云 rdp ，封个鬼这是正常用途

[fiskgge1992]

@565656 不是被封，口误了，就是说被黑了，勒索攻击，说是有漏洞，可以参考下原贴的评论~

[apkapb]

借楼问一下，mac 连接 windows 有没有特别好的方案。

现在局域网使用 Rdp 都觉得延迟有点难受。

[twofox]

@allplay 无所谓。有漏洞就更新。为了安全，你还可以限制入口 IP 的白名单。就像我，直接把公司的 IP 加入白名单，其它 IP 拒绝掉。

[fiskgge1992]

@twofox 我公司没固定 ip 啊。。还有手机啥的

[twofox]

@fiskgge1992 那就只能多更新安全补丁咯。但是 RDP 真的很好用。我现在就是在远程摸鱼

[prosgtsr]

@fiskgge1992 todesk 最近几个月更新政策了，以前是免费随便用，后来是每个月连接次数有限制，连接总时长有限制。按理说每个月的限制应该都刷新了才对，你这应该是触发别的什么机制了吧

[dosbat]

VPN+RDP+无人值守

[locochem]

我没有公网 ip ，用的 zerotier 组虚拟局域网+rdp 方式使用，安卓手机异地跨运营商，4g 不好打通。5G 可以打通，效果还行。本地使用的话，跨运营商效果也很好。

[aybear]

我有个东京的腾讯云，rustdesk 服务器放在了腾讯云，电脑有向日葵电源远程启动，我自从 todesk 收费后就开始自建 rustdesk 服务器了，用了好久了一点问题没有。有公网 ip 的话也可以在家弄个服务器，但是我服务器电费一天好几块就换租用 vps 了

[n43635]

现在基本不推荐直连 rdp 了，即使强密码也会被爆破很不爽，走代理方式的话我自己用的是 ssh 隧道代理配置密钥登陆的方式，安全性比较高，性能影响很小，而且现在很多 rdp 客户端都支持 ssh 隧道，配置好后可以像直连一样使用很方便，可以不用像其他 vpn 一样先连 vpn 再连 rdp

[MZRME]

windows rdp 有什么漏洞吗，大部分都是弱密码+没策略被扫了吧

[namekkozZ]

有个问题借楼问下，怎么每次知道远程连接机器的密码？

[eBMm8zIi0Zq3]

uu 可以。

rustdesk 是一个失败的远控软件，因为他不能保持登录状态，大概是一两周后，就无法连接上了。而且还需要填各种配置。

[demahom822]

uu 远程加上局域网可以 wol 唤醒的设备 uu 配置开机自启，我是路由器有 wol 唤醒功能，电脑 bios 配置一下就行

[luoshengdu]

@fiskgge1992 是的就是在路由做端口映射。1.路由有公网 IP ； 2.路由器映射你的电脑 3389---wan 的 23451 ； 3.从公网 mstsc 访问 wanIP:23451 即可连接你的电脑桌面

[doraemonki]

@QS0x01 老哥是设的强密码吗

[Comodo]

UU 远程+1

[datou]

目前不用 windows 服务器，所以没有远程连接 windows 电脑的需求

如果未来有了需求肯定是 zt 组网 RDP

[ota]

我是直接 fold6 接显示器，实在需要多屏的，就带 s11 出去+hub 来多屏。
家里已经没电脑了，也没笔记本了。轻量化。
需要就远程开台机器，比如河马云之类的，跑一下需要压力的任务。不然大部分都是 remote server 。甚至连和马云这类桌面都不用。文件共享则直接 nfsv4+kerberos 。

[Tanix2]

之前折腾了一段时间, 最后懒得折腾了, 买了 sakura frp 的服务, 最高级的 VIP 也就 20 块钱一个月, 我现在就在用这个服务连家里电脑刷 v 站, 离家 1800km, round-trip time 43ms, 依旧很丝滑

[wxy8866]

@apkapb 同问。Mac 的 win app 太蛋疼了，内网拖动窗口，延时也太大了。

[mystrylw]

我曾经开 RDP 在公网 ip 3389 然后看 log 疯狂被人扫描尝试登录 不知道在尝试什么。后来换 frp 随机端口好一些 速度堪忧😮‍💨 现在是 tailsacle 加自建节点 rdp 很流畅

[deepbytes]

我主力 mac ，用了三年的方案，也算是个思路，分享一下：
公网---SSH 隧道（最佳实践的高强度+性能平衡的 FIDO2 实体密钥认证，私钥存在硬件密钥中，2 个硬件密钥相互备份）---NPS 高位随机端口禁用，只在 FIDO2 硬件密钥认证通过时才开放端口被连接，实际公网看不到该高位端口，原因是 ssh 隧道连接可以绕过防火墙策略---家里无公网的 ubuntu 安装 npc 客户端---认证完毕---macOS 中的 RDP 建立连接到家里的 Win11 、win10 等机器。调教好，非常丝滑！已稳定使用 3 年多，稳如狗。

我的目前方案适用于无公网 ip 的情况。op 有公网 op ，那直接可以免去 NPS 搭建，更快了，我的方案优点就是：按需开启，安全丝滑～

[yanxiansheng]

wireguard + rustDesk 组局域网访问

[meeliao]

问题：被控设备显示器关闭后，控制端无法显示画面操作
是不是 Windows 开启灭屏即休眠了呀，我的关闭休眠灭屏后仍可连

[QS0x01]

@doraemonki 中等强度吧，14 位字母数字混合。

我觉得还是 v4 容易被扫 + rdp 0day 漏洞多的原因。（机子常年无人值守所以是 windows ltsc 没更新）

中勒索病毒的机子是个回家的文件中转机，好在不是开发机问题不大。
1. 之前一直都是 v6 + ddns 的方案，没开 v4 的端口，用了 5 年没出过问题。
2. 去年暑期 ddns 服务到期加偷懒，就在 v4 上新开了个 2w+ 的端口，结果一个多月后就被爆破了。

现在换了个新方案，用 ssh + frp ，然后配置禁止密码登录，必须提供私钥。ssh 连上后再自动隧道中转 rdp 的端口。

[yagamil]

如果 windows 的 rdp 有漏洞，那 uu 那些漏洞还不是很多？

[QS0x01]

@yagamil uu 那些端口不固定，协议更是不公开给你研究。

[lmmir]

@jixiafu 卧槽 easytier 这个牛逼

[jpyl0423]

WD+Rustdesk ，Rustdesk 也支持 RDP

[4NF]

我自己是非固定公网 v4+ddns+easytire+rdp

[qxq94]

wireguard 比较简单，手机也有对应的 APP ，组好内网之后直接 3389 远程

[wangybsyuct]

说 rdp 有漏洞，这个我不太相信，（遇到过一台 windows2008 被攻破过）。我使用阿里云的 windows 2003,几乎用了十年，也没被攻破过，日志里有大量的攻击记录，就是没被攻破过，阿里云的防火墙都没加规则。windows 2003 改了管理员名，端口，密码不复杂。

[fiskgge1992]

@wangybsyuct 这个只能看运气了，阿里云的无所谓，家里电脑就怕万一了能加安全策略还是加吧

[cccer]

一直用的 IPV6 + DDNS + RDP + 强密码, 端口 3389 都没改，每天晚上自动重启一次路由器获取新 IP 。
没有 DDNS 的域名想扫到 IPV6 地址应该不太可能。