hannes.p
Goto Top

Einfacher und sicherer RDP Client

Hallo,

ich bin auf der Suche nach einer Lösung, die das aufbauen einer RDP Sitzung zu einem Windows Terminalserver im selben Heimnetz ermöglicht.
Wir haben auf den bestehenden Rechnern momentan Windows 10 laufen. Aufgrund der Abschaltung der Sicherheitsupdate kommenden Herbst müssen mehrere PC ausgetauscht werden, weil unsere i5 Prozessoren gerade so die Anforderungen von Windows 11 nicht mehr erfüllen.

Die bestehende Hardware dient momentan nur noch zur Anmeldung an einen Windows Terminalserver.

Ich suche nach einer Möglichkeit den Austausch der Rechner zu verhindern. Im Grunde wäre nur ein primitives Betriebssystem nötig, das nichts kann außer die RDP Sitzung mit zwei bis max. 3 Bildschirmen zu verwalten.

Der Wartungsaufwand sollte möglichst überschaubar sein und das System sicher gegenüber Schadsoftware.
Das Anmelden an dem Terminalserver sollte für den Benutzer (teilweise am PC unerfahren) einfach sein.

Content-ID: 668073

Url: https://administrator.de/contentid/668073

Printed on: October 15, 2024 at 07:10 o'clock

Trinatrium
Trinatrium Sep 11, 2024 updated at 19:15:50 (UTC)
Goto Top
Windows 11 könnte man anpassen, dass es mehr Hardware mag.

RDP ist ein Monster an Protokoll, dass sich im VPN am besten aufgehoben fühlt. Nackiges RDP ohne VPN ist risikohaft.

Gucke dir mal Apache Guacamole an. Cloudflare Tunnel drüber und Du hast Komfort und Sicherheit auf hohem Niveau.
Avoton
Avoton Sep 11, 2024 at 18:53:18 (UTC)
Goto Top
Moin,

Linux?
RangeeOS?
Windows 10 den Internetzugang wegnehmen und weiter nutzen?

Und: Wer setzt im Heimnetz einen Terminalserver ein? :D

Gruß,
Avoton
em-pie
em-pie Sep 11, 2024 at 19:05:18 (UTC)
Goto Top
Moin,

IgelOS
Kann selbstständig nen VPN aufbauen und anschließend per RDP/ Citrix/ Horizon eine Terminalverbindubg aufbauen.

Mittlerweile aber nicht mehr kostenlos.

Alternative wäre ggf. noch OpenthinClient.
transocean
transocean Sep 11, 2024 at 19:07:07 (UTC)
Goto Top
Moin,

ich empfehle MeshCentral.

Gruß

Uwe
Avoton
Avoton Sep 12, 2024 at 04:34:12 (UTC)
Goto Top
ich empfehle MeshCentral.

Er sucht einen RDP Client, keine Remote Management Lösung

Gruß,
Avoton
Lochkartenstanzer
Lochkartenstanzer Sep 12, 2024 at 06:09:24 (UTC)
Goto Top
Zitat von @Trinatrium:

RDP ist ein Monster an Protokoll, dass sich im VPN am besten aufgehoben fühlt. Nackiges RDP ohne VPN ist risikohaft.


Moin,

Aber im lokalen Heimnetz? Da ist es vermutlich übertrieben, wenn man da nicht gerade Hinz und Kunz reinläßt.

lks
Trinatrium
Trinatrium Sep 12, 2024 at 06:14:53 (UTC)
Goto Top
Wenn der RDP Server Dienst, egal wie, erreichbar ist, dann sollte man die Angriffsfläche nicht unterschätzen, die das bietet.
Es wird immer irgendwo nach Lücken gesucht.

RDP ist auch schwer zu schützen. Besonders RDP UDP wirft viele Fragen auf.

Daher Weblayer drüber und mit CF WAFen.
Lochkartenstanzer
Lochkartenstanzer Sep 12, 2024 updated at 06:19:25 (UTC)
Goto Top
Zitat von @hannes.p:

Die bestehende Hardware dient momentan nur noch zur Anmeldung an einen Windows Terminalserver.


Moin,

Du kannst Dir irgendeine Linux-Distribution draufknallen und da die üblichen Clients wie z.B. Remmina verwenden.

Oder Du nimmst einen der speziellen Thinclient-Distributionen wie z.B. das schon genannte OpenThinclient.

Oder Du machst es Dir ganz einfach und sorgt dafür, das Deine 10er Rechner nach dem Supportende keine Konnektivität
Ktivität ins Internet und zu anderen Kisten im LAN außer dem Server haben, z.B. durch Einrichten eines eigenen VLANS für sie, und nutzt die einfach weiter.

lks
beck2oldschool
beck2oldschool Sep 12, 2024 at 06:43:55 (UTC)
Goto Top
+1 für OpenThinClient
Rechner starten, er bekommt sein (Linux-) OS per PXE vom OTC-Server (wahlweise auch von der lokalen Platte) und danach startet sofort der RDP Client. Der User selbst muss da nix können...
Th0mKa
Th0mKa Sep 12, 2024 at 06:47:21 (UTC)
Goto Top
Zitat von @Trinatrium:
Daher Weblayer drüber und mit CF WAFen.

Der Kollege sucht ne einfache Lösung für sein Problem und du schlägst ihm ernsthaft das vor? Wie lößt das denn sein Problem des auslaufenden Win 10 Supports?

/Thomas
insidERR
insidERR Sep 12, 2024 at 06:54:19 (UTC)
Goto Top
Ich setze bei uns RasPi's 3/4 als RDP-Clients. WLAN und Kabel.
RasPi bootet und startet sofort per Script den RDP-Client xFreeRDP mit voreingesteller IP und Benutzer.
Benutzer muss nur sein PWD eingeben. USB-Sticks werden nicht mitgenommen.
Bei zwei rasPi wird erst noch VPN aufgebaut und erst danach RDP gestartet. Wenn der Benutzer sich abmeldet, fährt der RasPi herunter. geht seit Jahren ganz gut.
Hab ein Masterimage. Kommt ein neuer RasPi dazu, wird das Image aufgespielt und ich passe nur die IP, Benutzername und Computernamen an. Fertig.
Sehr günstiger ThinClient.
Bei uns perfekt für einfache Bildschirmarbeitsplätze in der Verwaltung (RasPi 4 wegen 2 Monitore) und bei den gewerblichen (RasPi3).
ukulele-7
ukulele-7 Sep 12, 2024 at 07:07:13 (UTC)
Goto Top
Zitat von @insidERR:

(RasPi 4 wegen 2 Monitore)
Geht das auch bis 2x 4k oder zumindest 2560x1440?

Ich hatte vor Jahren nach einer Lösung gesucht, hatte aber bei allen Linux basierten Clients immer Probleme mit der Auflösung oder mit Smart Cards, die brauche ich leider auch.
erikro
erikro Sep 12, 2024 at 07:15:07 (UTC)
Goto Top
Moin,

Zitat von @Trinatrium:
RDP ist ein Monster an Protokoll,

Unsinn. RDP ist ein sehr schlankes und schnelles Protokoll.

dass sich im VPN am besten aufgehoben fühlt.

Aha. Tut es das? Ich wusste noch nicht, dass Protokolle Gefühle haben.

Nackiges RDP ohne VPN ist risikohaft.

Und wie genau baust Du im selben Netz (siehe Frage des TO) ein VPN auf?

Liebe Grüße

Erik
Lochkartenstanzer
Lochkartenstanzer Sep 12, 2024 updated at 07:27:15 (UTC)
Goto Top
Zitat von @erikro:

Und wie genau baust Du im selben Netz (siehe Frage des TO) ein VPN auf?

Wie sonst auch. Einfach IPSEC oder ein anderes host-to-host-VPN aufsetzen. Ist bei IPv6 sogar als Option vorgesehen.

Wobei das hier in meinen Augen Overkill ist.

lks
aqui
aqui Sep 12, 2024 updated at 07:31:48 (UTC)
Goto Top
https://www.heise.de/ratgeber/Ohne-TPM-und-Secure-Boot-Windows-11-Instal ...
Microsoft hat es selber dokumentiert! face-wink
https://support.microsoft.com/en-us/windows/ways-to-install-windows-11-e ...
Ansonsten aus der Windows Knechtschaft lösen und ein sinnvolles OS installieren wie oben schon gesagt! face-wink
Befreit dich gleichzeitig dann auch von Microsofts Ausschnüffelei und dem Abschnorcheln von privaten Daten!
insidERR
insidERR Sep 12, 2024 at 07:41:17 (UTC)
Goto Top
Zitat von @ukulele-7:

Geht das auch bis 2x 4k oder zumindest 2560x1440?

Ich hatte vor Jahren nach einer Lösung gesucht, hatte aber bei allen Linux basierten Clients immer Probleme mit der Auflösung oder mit Smart Cards, die brauche ich leider auch.

Ich hatte den RasPi 4 mal an eine 4k Glotze angeschlossen. Desktop hat funktioniert. Alle Symbole winzig.
Allerdings war das Bild vom Terminal nicht so schön. Habe dann die Auflösung des RasPi auf FullHD fest genagelt.
Mit SmartCards habe ich nie was gemacht.
Trinatrium
Trinatrium Sep 12, 2024 at 08:13:28 (UTC)
Goto Top
Zitat von @Th0mKa:

Zitat von @Trinatrium:
Daher Weblayer drüber und mit CF WAFen.

Der Kollege sucht ne einfache Lösung für sein Problem und du schlägst ihm ernsthaft das vor? Wie lößt das denn sein Problem des auslaufenden Win 10 Supports?

/Thomas

Ja, einfach. 1-2 Stunden Arbeit und der Zugriff auf RDP ist exklusiv für Guacamole.
Trinatrium
Trinatrium Sep 12, 2024 at 08:16:08 (UTC)
Goto Top
Es geht um die unzähligen Möglichkeiten die das Protokoll bietet. Das macht es anfällig. Nicht um die Performance, die auch nur mäßig ist.

Die anderen Fragen nehme ich jetzt Mal nicht ernst, sonst ist hier keine Admin-Diskussion.
erikro
erikro Sep 12, 2024 at 08:25:58 (UTC)
Goto Top
Zitat von @Trinatrium:
Es geht um die unzähligen Möglichkeiten die das Protokoll bietet.

Aha, dann fange mal an, die aufzuzählen. Ich kenne irgendwie nur eine: Verbindung zu einem entfernten Computer. Was kann das Protokoll noch?

Das macht es anfällig. Nicht um die Performance, die auch nur mäßig ist.

Aha. Und was ist schneller?

Die anderen Fragen nehme ich jetzt Mal nicht ernst, sonst ist hier keine Admin-Diskussion.

Soso. Du machst also einen Vorschlag, bist aber nicht bereit, ihn zu konkretisieren.
Lochkartenstanzer
Lochkartenstanzer Sep 12, 2024 at 08:40:55 (UTC)
Goto Top
Zitat von @Trinatrium:

Sicher dass du hier richtig bist?

Eigene Nase?

Sorry, aber ihr verrennt euch in Nebensächlichkeiten die weit am Problem des TO vorbeigehen.

lks
nachgefragt
nachgefragt Sep 12, 2024 updated at 09:30:21 (UTC)
Goto Top
Ich suche nach einer Möglichkeit den Austausch der Rechner zu verhindern.
Segmentierung/VLAN z.B. mit einer lizenzkostenfreien OPNsense.

Im Grunde wäre nur ein primitives Betriebssystem nötig, das nichts kann außer die RDP Sitzung mit zwei bis max. 3 Bildschirmen zu verwalten.
z.B. als RDP Client, geht auch für OPNsense (2x LAN vorhanden)
https://www.google.com/search?q=intel+n97+12th+16GBRAM+W11+Pro
f0476d698f9ab4a4c8175a66bb8bbc6a

Linux Mint + Remmina hatte ich vor Monaten probiert, um alte Clients zu retten, Problem waren Dual TFT und/oder 4k.

Der Wartungsaufwand sollte möglichst überschaubar sein und das System sicher gegenüber Schadsoftware.
W11 in den erweiterten Optionen so einstellen, dass es die Updates immer automatisch zieht.
erikro
erikro Sep 12, 2024 at 12:30:51 (UTC)
Goto Top
Zitat von @Trinatrium:

Sicher dass du hier richtig bist?

Ich finde ja so Leute, die in Foren kommen, dort ein paar Tage schreiben und dann Alteingesessene von der Seite anmachen, unwahrscheinlich sympathisch. PLONK!
Vision2015
Vision2015 Sep 12, 2024 at 14:03:16 (UTC)
Goto Top
Moin...
Zitat von @Trinatrium:

Wenn der RDP Server Dienst, egal wie, erreichbar ist, dann sollte man die Angriffsfläche nicht unterschätzen, die das bietet.
im Internen Netzwerk?
Es wird immer irgendwo nach Lücken gesucht.
ja klar...

RDP ist auch schwer zu schützen. Besonders RDP UDP wirft viele Fragen auf.
oha ... welche den?
was willst du Intern schützen... ok, vor sich selber wäre jetzt ein Argument!

Daher Weblayer drüber und mit CF WAFen.
für ein Internes Netzwerk....ja nee, ist klar face-smile

Frank
Trinatrium
Trinatrium Sep 13, 2024 at 13:52:16 (UTC)
Goto Top
Zitat von @Th0mKa:

Zitat von @Trinatrium:

Sicher dass du hier richtig bist?

Was stimmt denn mit dir nicht?

Weil ich den Troll Frage warum er trollt?
Ganz einfach, weil er bei Sachen mitreden will, die er nicht versteht und wenn man ihm fragt, warum er das macht, dann kommt: Du bist erst seit Tagen hier.
Da ist doch die Frage mehr als berechtigt?!

Er ignoriert ganz offenkundig, dass RDP mit unzähligen Funktionen vollgestopft ist, die auf alles zugreifen kann im Server UND Client. Treiber, Zwischenablage... alles... Daher ein Monster von Protokoll ist nciht mehr zu den Projekten bei MS gehört die speichersicher sind auch und weil sie auf fast jeder noch so alte Technik im Windows zugriff hat, die nicht speichersicher ist.
Um das zu ignorieren und dann hier den dicken Maxen zu spielen, muss man schon sehr absonderlich fachfremd sein.
Trinatrium
Trinatrium Sep 13, 2024 at 13:53:29 (UTC)
Goto Top
Zitat von @Vision2015:

Moin...
Zitat von @Trinatrium:

Daher Weblayer drüber und mit CF WAFen.
für ein Internes Netzwerk....ja nee, ist klar face-smile

Frank

Ja, warum nicht. Ist doch der Technik egal und die 20ms merkt man auch nicht.
Und wo kommt man sonst an ein so hohes Schutzniveau für lau?
Vision2015
Vision2015 Sep 13, 2024 at 16:36:27 (UTC)
Goto Top
Moin..
Zitat von @Trinatrium:

Zitat von @Vision2015:

Moin...
Zitat von @Trinatrium:

Daher Weblayer drüber und mit CF WAFen.
für ein Internes Netzwerk....ja nee, ist klar face-smile

Frank

Ja, warum nicht. Ist doch der Technik egal und die 20ms merkt man auch nicht.
Und wo kommt man sonst an ein so hohes Schutzniveau für lau?
oha... das Schutzniveau im internen Netzwerk will ich aber von dir erklärt haben!
Um das zu ignorieren und dann hier den dicken Maxen zu spielen, muss man schon sehr absonderlich fachfremd sein.
nun...den dicken Max machst du eigentlich nur, aber hau doch mal raus mit deinem wissen!

Er ignoriert ganz offenkundig, dass RDP mit unzähligen Funktionen vollgestopft ist, die auf alles zugreifen kann im Server UND Client. Treiber, Zwischenablage... alles...
so so... und die bösen zugriffe machst du im eigenen Netzwerk dicht, über ein VPN...
Daher ein Monster von Protokoll ist nciht mehr zu den Projekten bei MS gehört die speichersicher sind auch und weil sie auf fast jeder noch so alte Technik im Windows zugriff hat, die nicht speichersicher ist.
aha.. MS supportet also RDP nicht mehr in zukunft, oder wie soll ich das verstehen?

Frank
hannes.p
hannes.p Sep 13, 2024 at 19:28:31 (UTC)
Goto Top
Zitat von @insidERR:

Ich setze bei uns RasPi's 3/4 als RDP-Clients. WLAN und Kabel.
RasPi bootet und startet sofort per Script den RDP-Client xFreeRDP mit voreingesteller IP und Benutzer.
Benutzer muss nur sein PWD eingeben. USB-Sticks werden nicht mitgenommen.
Bei zwei rasPi wird erst noch VPN aufgebaut und erst danach RDP gestartet. Wenn der Benutzer sich abmeldet, fährt der RasPi herunter. geht seit Jahren ganz gut.
Hab ein Masterimage. Kommt ein neuer RasPi dazu, wird das Image aufgespielt und ich passe nur die IP, Benutzername und Computernamen an. Fertig.
Sehr günstiger ThinClient.
Bei uns perfekt für einfache Bildschirmarbeitsplätze in der Verwaltung (RasPi 4 wegen 2 Monitore) und bei den gewerblichen (RasPi3).


Vielen Dank! Der Ansatz mit nem RasPi ist auf jeden Fall gut! Die bestehenden Geräte sind dann zwar trotzdem überflüssig, aber sie zu härten ist auch n ziemlicher Aufwand.
Wärst du evtl. bereit dein Image zur Verfügung zu stellen?
Th0mKa
Th0mKa Sep 14, 2024 at 08:29:39 (UTC)
Goto Top
Zitat von @hannes.p:
Vielen Dank! Der Ansatz mit nem RasPi ist auf jeden Fall gut! Die bestehenden Geräte sind dann zwar trotzdem überflüssig, aber sie zu härten ist auch n ziemlicher Aufwand.
Wärst du evtl. bereit dein Image zur Verfügung zu stellen?

Wie weiter oben schon erwähnt kannst du auch Openthinclient nehmen, wenn du nicht weißt wie man Linux Distributionen anpasst.

/Thomas
erikro
erikro Sep 16, 2024 at 09:00:16 (UTC)
Goto Top
Moin,

Zitat von @Trinatrium:
Weil ich den Troll Frage warum er trollt?

Wer hier ein Troll ist und wer nicht, mögen andere beurteilen.

Ganz einfach, weil er bei Sachen mitreden will, die er nicht versteht und wenn man ihm fragt, warum er das macht, dann kommt: Du bist erst seit Tagen hier.
Da ist doch die Frage mehr als berechtigt?!

Er ignoriert ganz offenkundig, dass RDP mit unzähligen Funktionen vollgestopft ist, die auf alles zugreifen kann im Server UND Client. Treiber, Zwischenablage... alles...

Aha. Wer stellt hier wilde Thesen auf und ist auf Rückfrage nicht bereit, die "unzähligen Funktionen", die postuliert werden, mal zu nennen. Na gut. Dann tue ich es. Die Funktionen des RDP-Protokolls:

  • Übertragung der Bildschirminhalte
  • Übertragung der Eingaben (Maus, Tastatur, Mikrofon, Kamera)
  • Bereitstellen der Peripherie (Drucker, Scanner etc.; abschaltbar)
  • Bereitstellung der Zwischenablage (abschaltbar)
  • Bereitstellung der Dateisysteme (Standard: abgeschaltet)

Das ist, wenn ich mich recht erinnere, die abschließende Liste des "mit unzähligen Funktionen vollgestopft(en)" Protokolls. Mehr kann es nicht. Wenn über dieses Protokoll auf systemkritische Funktionen zugegriffen werden kann, dann liegt das nicht am RDP, sondern an einem mangelhaften Sicherheitskonzept.

Um das zu ignorieren und dann hier den dicken Maxen zu spielen, muss man schon sehr absonderlich fachfremd sein.

Jajaja, ich bin so absonderlich fachfremd, dass ich seit 32 Jahren mein Geld mit IT verdiene.

Liebe Grüße

Erik
insidERR
insidERR Sep 16, 2024 at 09:17:24 (UTC)
Goto Top
Zitat von @hannes.p:

Vielen Dank! Der Ansatz mit nem RasPi ist auf jeden Fall gut! Die bestehenden Geräte sind dann zwar trotzdem überflüssig, aber sie zu härten ist auch n ziemlicher Aufwand.
Wärst du evtl. bereit dein Image zur Verfügung zu stellen?

Moin.
Das ganze Image kann ich nicht raus geben, weil es zu sehr auf unsere Firma abgestimmt ist (Bootlogo, WLAN)
Musst nur ein aktuelles Image von der Herstellerseite nehmen und dann folgendes Script starten lassen, wenn der Desktop geladen ist.

#!/bin/bash
rdpUSERNAME='Administrator'  
rdpDOMAIN='domain.local'  

rdpIP=192.168.1.110

xset s off
xset -dpms
xset s noblank

# Maus verschieben
xdotool mousemove 0 0


# Maus verschieben, Uhrzeit aktualisieren
xdotool mousemove 1920 0
sudo ntpdate -s 192.168.1.1 &

### warten, bis Server erreichbar ist #####
while ! ping -c 1 $rdpIP > /dev/null; do
   sleep 1
done
###########################################

numlockx
xdotool mousemove 960 620

#######################################################################################################################################################################################################################
# RDP mit USB-Stick starten
#sudo xfreerdp -f /multimon /v:$rdpIP /d:$rdpDOMAIN /u:$rdpUSERNAME +auto-reconnect /auto-reconnect-max-retries:10 +bitmap-cache /cert-tofu /sec:tls /cert-ignore /gdi:hw /drive:USB-Laufwerk,/media/ &
#
# RDP ohne USB-Stick starten 
sudo xfreerdp -f /multimon /v:$rdpIP /d:$rdpDOMAIN /u:$rdpUSERNAME +auto-reconnect /auto-reconnect-max-retries:10 +bitmap-cache /cert-tofu /sec:tls /cert-ignore /gdi:hw &
#######################################################################################################################################################################################################################

# 2 sekunden warten
sleep 2

# in Schleife bleiben, solange xFreeRDP noch aktiv ist, bzw der Benutzer noch m Terminal angemeldet ist
while true; do
   if [ -z "$(ps aux | grep -v grep | grep xfreerdp)" ]; then  
      break
   fi
   sleep 2
done

# Maus verschieben
xdotool mousemove 1920 0


### System ausschalten ###
#
sudo poweroff
#
##########################

# Stand: 14.09.2022

Musst dann noch paar Tools wie xdotool, numlockx und xFreeRDP nachinstallieren.
Das mit dem Mousemoove kannst du entfernen. Dient mir nur dazu, um zu sehen, wie weit man grad im Script ist.
aqui
aqui Sep 16, 2024 updated at 09:26:48 (UTC)
Goto Top
beck2oldschool
beck2oldschool Sep 16, 2024 at 09:56:14 (UTC)
Goto Top
Zitat von @aqui:

rdpDOMAIN='domain.local'
OT: Manche lernen es nie... face-sad

Manche haben aber halt auch einfach eine ältere Umgebung und können nicht von heute auf morgen den Domänennamen ändern 😏