Remote Desktop qua proxy: RDP, SOCKS5 và RD Gateway
Remote Desktop proxy là cách cho kết nối Remote Desktop (RDP) từ máy mình tới máy tính hoặc VPS ở xa đi qua một máy chủ trung gian, thay vì kết nối thẳng. Chương trình Remote Desktop Connection (mstsc) của Windows không có ô cài proxy, nên muốn đi qua proxy phải dùng phần mềm ép kết nối như Proxifier, ProxyCap, mở đường hầm SSH, hoặc dùng RD Gateway của doanh nghiệp. Nhiều người còn nhầm giữa hai việc: cho kết nối RDP đi qua proxy, và cho các ứng dụng bên trong VPS đi ra Internet qua proxy. Bài này ProxyVN phân biệt rõ hai việc đó, hướng dẫn từng cách kết nối RDP qua proxy, lưu ý về độ trễ, UDP, và bảo mật cổng 3389. Xem thêm dịch vụ tại ProxyVN.
Tổng quan về Remote Desktop và proxy
Remote Desktop Protocol là giao thức của Microsoft cho phép điều khiển màn hình, bàn phím, chuột của máy Windows từ xa. Cơ chế hoạt động được giải thích trong tài liệu RDP của Microsoft.
RDP dùng cổng và giao thức nào
Mặc định RDP lắng nghe ở cổng 3389. Kết nối dùng TCP, và từ các bản Windows gần đây có thêm UDP cùng cổng để truyền hình ảnh mượt hơn khi mạng có độ trễ hoặc mất gói. Nếu UDP không thông, RDP tự dùng TCP.
Hai việc thường bị nhầm
Hai việc khác nhau: proxy cho kết nối RDP và proxy trong VPS
- Proxy cho kết nối RDP: máy mình kết nối tới VPS qua proxy. VPS thấy kết nối đến từ IP của proxy. Mục đích: đi qua mạng chặn cổng 3389, ẩn IP của mình với VPS, hoặc VPS chỉ cho phép một IP cố định kết nối.
- Proxy bên trong VPS: sau khi đã vào VPS, các ứng dụng trong VPS (trình duyệt, công cụ) đi ra Internet qua proxy. Mục đích: VPS có IP nước ngoài nhưng cần IP Việt Nam cho tài khoản, hoặc cần nhiều IP cho nhiều tài khoản.
Phần lớn người dùng VPS làm việc thứ hai. Bài proxy và VPS nói chi tiết cách kết hợp. Bài này tập trung vào việc thứ nhất, kèm phần ngắn về việc thứ hai.
Khi nào cần đưa RDP qua proxy
- Mạng công ty, khách sạn, quán cà phê chặn cổng 3389 đi ra.
- VPS hoặc máy chủ chỉ cho phép kết nối RDP từ một IP cố định, trong khi IP nhà mình thay đổi.
- Không muốn VPS ghi nhận IP nhà mình.
- Máy cần điều khiển nằm trong mạng nội bộ, chỉ vào được qua máy trung gian.
Lý do mstsc không có ô cài proxy
Remote Desktop Connection kết nối trực tiếp tới máy đích qua TCP, không qua HTTP, nên không đọc cài đặt proxy HTTP của Windows. Trang Network trong Windows Settings có mục proxy, nhưng mục này chỉ có tác dụng với ứng dụng dùng HTTP và chủ động đọc cấu hình. Tham số dòng lệnh của mstsc cũng không có tuỳ chọn proxy, xem trong tài liệu lệnh mstsc.
Ngoại lệ là khi dùng RD Gateway: kết nối tới Gateway đi qua HTTPS, khi đó cấu hình proxy HTTP của hệ thống có thể có tác dụng với chặng tới Gateway, tuỳ cấu hình mạng.
Cách 1: ép mstsc đi qua SOCKS5 bằng Proxifier
Ép mstsc đi qua SOCKS5
Đây là cách phổ biến nhất khi đã có proxy SOCKS5 và muốn RDP đi qua nó.
Chuẩn bị
- Proxy SOCKS5 với địa chỉ, cổng, tài khoản, mật khẩu. Proxy HTTP có hỗ trợ CONNECT tới cổng 3389 cũng dùng được, nhưng nhiều proxy HTTP chỉ cho CONNECT tới cổng 443, nên SOCKS5 an toàn hơn.
- Phần mềm Proxifier hoặc ProxyCap cài trên máy của mình.
- Địa chỉ IP và cổng RDP của VPS.
Các bước với Proxifier
- Mở Proxifier, vào Profile, Proxy Servers, thêm proxy SOCKS5, nhập tài khoản. Bấm Check để thử.
- Vào Profile, Proxification Rules, thêm rule mới.
- Applications: nhập mstsc.exe.
- Target hosts: để trống (mọi đích) hoặc nhập IP của VPS.
- Action: chọn proxy SOCKS5 vừa thêm.
- Lưu, mở Remote Desktop Connection, kết nối tới VPS như bình thường.
Cửa sổ kết nối của Proxifier sẽ hiện mstsc.exe kết nối qua proxy. Hướng dẫn đầy đủ về Proxifier có trong bài Proxifier. Phần mềm tương tự có trong bài ProxyCap.
Xử lý UDP
Phần lớn proxy SOCKS5 thương mại không chuyển tiếp UDP, hoặc phần mềm ép proxy không chuyển UDP của mstsc. RDP sẽ tự dùng TCP. Nếu thấy kết nối chập chờn khi RDP cố thử UDP, tắt UDP phía máy khách bằng Group Policy: Computer Configuration, Administrative Templates, Windows Components, Remote Desktop Services, Remote Desktop Connection Client, bật "Turn Off UDP On Client". Khởi động lại máy để áp dụng.
Kiểm tra IP mà VPS thấy
Trên VPS, mở Event Viewer, mục Windows Logs, Security, tìm sự kiện đăng nhập 4624 với kiểu đăng nhập 10 (RemoteInteractive). Trường Source Network Address là IP mà VPS thấy. Nếu là IP của proxy, kết nối đã đi qua proxy. Có thể dùng lệnh netstat trên VPS để xem kết nối đến cổng 3389 từ IP nào.
Cách 2: đường hầm SSH cho Remote Desktop
Đường hầm SSH cho Remote Desktop
Khi có một máy chủ Linux trung gian (bastion) có thể SSH vào, và máy chủ đó kết nối được tới máy Windows đích, đường hầm SSH là cách an toàn và miễn phí.
Mở đường hầm
ssh -L 13389:10.0.0.50:3389 user@bastion.cong-ty.vnLệnh này mở cổng 13389 trên máy mình. Mọi kết nối tới localhost:13389 được chuyển qua SSH tới bastion, từ bastion tới 10.0.0.50:3389. Giữ cửa sổ SSH mở trong suốt phiên làm việc.
Kết nối RDP qua đường hầm
mstsc /v:localhost:13389Máy Windows đích thấy kết nối đến từ bastion. Kết nối giữa máy mình và bastion được mã hoá bởi SSH. Khái niệm đường hầm SSH được giải thích trong bài về SSH tunneling của SSH Academy.
Qua nhiều máy trung gian
Nếu phải qua hai lớp máy trung gian, dùng ProxyJump:
ssh -J user@bastion1 -L 13389:10.0.0.50:3389 user@bastion2Cách cấu hình ProxyJump trong tệp ~/.ssh/config có trong bài SSH ProxyJump là gì.
Đường hầm SSH qua proxy SOCKS5
Nếu chính kết nối SSH cũng cần đi qua proxy, thêm ProxyCommand dùng công cụ như ncat hoặc connect để SSH đi qua SOCKS5. Cách này phức tạp hơn, chỉ dùng khi mạng chặn cả SSH đi thẳng.
Trên Windows
Windows 10, 11 có sẵn OpenSSH Client, lệnh ssh dùng được trong PowerShell. PuTTY cũng mở được đường hầm qua mục Connection, SSH, Tunnels.
Cách 3: RD Gateway trong doanh nghiệp
RD Gateway của doanh nghiệp
Remote Desktop Gateway là vai trò của Windows Server, đóng gói RDP vào HTTPS cổng 443. Nhân viên ở xa kết nối tới Gateway qua Internet, Gateway chuyển vào máy trong mạng nội bộ. Tổng quan về vai trò này có trong tài liệu RD Gateway của Microsoft.
Ưu điểm
- Chỉ mở cổng 443 ra Internet, không mở 3389.
- Đi qua được hầu hết tường lửa, mạng khách sạn, vì cổng 443 hiếm khi bị chặn.
- Xác thực tập trung, có thể kết hợp xác thực đa yếu tố.
- Kiểm soát ai được vào máy nào qua chính sách.
Cấu hình phía máy khách
Trong Remote Desktop Connection, bấm Show Options, tab Advanced, mục Connect from anywhere, Settings. Chọn Use these RD Gateway server settings, nhập tên máy chủ Gateway. Kết nối tới máy đích bằng tên hoặc IP nội bộ của nó.
Gateway và proxy HTTP
Vì chặng tới Gateway là HTTPS, trong mạng công ty bắt buộc proxy HTTP, kết nối tới Gateway có thể đi qua proxy theo cấu hình hệ thống. Nếu proxy công ty giải mã HTTPS, kết nối Gateway có thể lỗi do chứng chỉ, cần bộ phận IT loại trừ tên miền Gateway khỏi việc giải mã.
So sánh các cách đưa RDP qua trung gian
Tiêu chí |
Proxifier + SOCKS5 |
Đường hầm SSH |
RD Gateway |
|---|---|---|---|
Cần gì |
Proxy SOCKS5, phần mềm trả phí |
Máy chủ SSH trung gian |
Windows Server, chứng chỉ |
Mã hoá chặng tới trung gian |
Không, RDP tự mã hoá |
Có, SSH |
Có, HTTPS |
Hỗ trợ UDP |
Thường không |
Không |
Có, qua UDP 3391 nếu mở |
Đi qua mạng chặn cổng lạ |
Tuỳ cổng proxy |
Tuỳ cổng SSH |
Tốt, cổng 443 |
Phù hợp |
Cá nhân, VPS |
Kỹ thuật viên, mạng nội bộ |
Doanh nghiệp |
Lưu ý dù đi qua proxy SOCKS5 không mã hoá, nội dung phiên RDP vẫn được mã hoá bởi chính RDP bằng TLS. Proxy chỉ thấy có kết nối tới VPS. Cơ chế đường hầm qua proxy được giải thích trong bài proxy tunnel là gì.
Độ trễ và trải nghiệm khi RDP qua proxy
Mỗi chặng cộng thêm độ trễ
RDP nhạy với độ trễ: con trỏ chuột, gõ phím phản hồi chậm làm khó làm việc. Kết nối thẳng từ Việt Nam tới VPS ở Singapore có độ trễ vài chục mili giây. Thêm proxy ở Mỹ vào giữa, độ trễ có thể lên vài trăm mili giây, cảm nhận rõ.
Chọn proxy trên đường đi
Proxy nên nằm gần mình hoặc gần VPS, lý tưởng là trên đường đi tự nhiên giữa hai bên. VPS ở Việt Nam thì proxy ở Việt Nam. Không chọn proxy ở châu lục khác trừ khi bắt buộc.
Giảm tải băng thông của RDP
- Giảm độ sâu màu xuống 16 bit trong tab Display.
- Tắt hình nền, hiệu ứng, phông chữ làm mịn trong tab Experience.
- Chọn chất lượng kết nối thấp hơn nếu mạng yếu.
- Giảm độ phân giải màn hình điều khiển.
Các thiết lập này giảm dữ liệu cần truyền, giúp RDP qua proxy mượt hơn.
Bảo mật cổng 3389
Không mở 3389 ra Internet nếu tránh được
Cổng 3389 mở công khai bị dò quét liên tục, có hàng nghìn lượt thử mật khẩu mỗi ngày. Nhiều vụ mã độc tống tiền bắt đầu từ RDP mở. Dùng RD Gateway, VPN, đường hầm SSH, hoặc giới hạn IP được phép là các cách giảm rủi ro.
Giới hạn IP được phép kết nối
Trên tường lửa của VPS hoặc tường lửa của nhà cung cấp VPS, chỉ cho phép IP của proxy tĩnh kết nối cổng 3389. Đây là lý do nhiều người dùng proxy tĩnh cho RDP: IP nhà thay đổi, nhưng IP proxy cố định, chỉ cần khai báo một lần. Khái niệm tường lửa và proxy được giải thích trong bài proxy firewall là gì.
Bật Network Level Authentication
NLA yêu cầu xác thực trước khi tạo phiên, giảm tải và giảm bề mặt tấn công. Bật trong System Properties, Remote, chọn "Allow connections only from computers running Remote Desktop with Network Level Authentication".
Mật khẩu mạnh và khoá tài khoản
Dùng mật khẩu dài, đổi tên tài khoản quản trị mặc định, bật chính sách khoá tài khoản sau nhiều lần nhập sai. Cân nhắc xác thực đa yếu tố cho RDP qua giải pháp bổ sung.
Đổi cổng có giúp không
Đổi 3389 sang cổng khác giảm lượt dò quét tự động, nhưng không thay được các biện pháp trên. Đây là lớp phụ, không phải lớp chính.
Proxy bên trong VPS sau khi đã kết nối RDP
Phần này dành cho việc thứ hai: các ứng dụng trong VPS đi ra Internet qua proxy.
Cài proxy cho Windows trong VPS
Trong VPS, vào Settings, Network & Internet, Proxy, nhập proxy. Trình duyệt Chrome, Edge sẽ theo. Cẩn thận: một số loại cài đặt proxy hệ thống có thể ảnh hưởng tới các dịch vụ của VPS, nhưng không ảnh hưởng tới kết nối RDP đang vào, vì RDP là kết nối đến, không đi qua proxy hệ thống.
Mỗi trình duyệt, mỗi tài khoản một proxy
Khi dùng VPS để quản lý nhiều tài khoản, mỗi hồ sơ trình duyệt antidetect gắn một proxy riêng. VPS chỉ là nơi chạy, IP đi ra là IP của từng proxy. Bài proxy và VPS nhắc ở đầu bài trình bày chi tiết mô hình này.
Cẩn thận khi dùng Proxifier trong VPS
Nếu cài Proxifier trong VPS với rule "mọi ứng dụng qua proxy", dịch vụ hệ thống, kể cả các thành phần liên quan tới phiên RDP, có thể bị đẩy qua proxy. Proxy chết là mất kết nối, có thể không vào lại VPS được. Luôn có rule cho mạng nội bộ và các dịch vụ hệ thống đi thẳng, chỉ đưa ứng dụng cần thiết vào rule proxy.
Các công cụ điều khiển từ xa khác và proxy
Chrome Remote Desktop
Chrome Remote Desktop chạy qua trình duyệt và dịch vụ của Google, dùng kết nối ngang hàng khi được, chuyển qua máy chủ chuyển tiếp khi không. Trong mạng công ty có proxy, quản trị viên có thể cần mở chính sách cho phép. Người dùng thường không phải cài proxy riêng, vì phần trình duyệt theo proxy hệ thống.
TeamViewer, AnyDesk
Các công cụ này có ô cài proxy riêng trong phần cài đặt, xử lý khác RDP. Cách cài có trong bài TeamViewer AnyDesk proxy.
Remote desktop trong Jupyter
Cụm từ "jupyter remote desktop proxy" chỉ một tiện ích mở rộng cho JupyterHub, cho phép mở màn hình đồ hoạ Linux trong trình duyệt thông qua máy chủ Jupyter. Đây là khái niệm khác, không liên quan tới việc đưa RDP của Windows qua proxy.
Các tình huống thực tế khi cần RDP qua proxy
Lý thuyết dễ hiểu hơn khi gắn với tình huống cụ thể. Dưới đây là những trường hợp ProxyVN hay gặp từ khách hàng.
Người làm marketing quản lý VPS chạy công cụ
Một người làm marketing thuê VPS Windows để chạy công cụ đăng bài, nuôi tài khoản. VPS ở nước ngoài, nhà cung cấp VPS cho mở cổng 3389 ra Internet. Sau vài tuần, nhật ký cho thấy hàng nghìn lượt thử mật khẩu. Giải pháp: mua một proxy tĩnh, khai báo trên tường lửa của VPS chỉ cho IP proxy vào cổng 3389, dùng Proxifier trên máy ở nhà ép mstsc qua proxy. Lượt dò quét biến mất, IP nhà thay đổi cũng không ảnh hưởng.
Kỹ thuật viên hỗ trợ máy khách hàng
Kỹ thuật viên cần vào máy chủ Windows trong mạng nội bộ của khách hàng. Khách hàng không muốn mở RDP ra ngoài, chỉ cho SSH vào một máy Linux trung gian. Đường hầm SSH giải quyết gọn: kỹ thuật viên SSH vào máy trung gian, mở cổng chuyển tiếp tới máy Windows, kết nối RDP qua cổng trên máy mình.
Nhân viên làm việc từ xa
Nhân viên cần vào máy tính ở văn phòng từ nhà. Công ty có hàng chục nhân viên như vậy. Mở 3389 cho từng máy là không thể quản lý. RD Gateway hoặc VPN của công ty là cách đúng, có xác thực tập trung, có nhật ký. Proxy cá nhân không phù hợp cho tình huống này.
Đi công tác, mạng khách sạn chặn cổng
Mạng Wi-Fi khách sạn chỉ cho các cổng web thông dụng. Kết nối RDP thẳng tới VPS thất bại. Nếu proxy SOCKS5 chạy ở cổng được phép, ép mstsc qua proxy sẽ kết nối được. Nếu không, RD Gateway trên cổng 443 hoặc đường hầm SSH trên cổng 443 là lựa chọn dự phòng.
Kiểm tra chất lượng kết nối RDP qua proxy
Đo độ trễ tới proxy và tới VPS
Dùng lệnh ping hoặc công cụ đo độ trễ TCP tới proxy và tới VPS. Tổng độ trễ đường qua proxy gần bằng độ trễ tới proxy cộng độ trễ từ proxy tới VPS. Dưới 80 mili giây làm việc thoải mái, trên 150 mili giây bắt đầu thấy trễ khi gõ phím.
Thông tin kết nối trong phiên RDP
Trong phiên RDP, thanh kết nối ở đầu màn hình có biểu tượng chất lượng kết nối. Bấm vào để xem độ trễ ước tính, băng thông, và việc UDP có được dùng hay không. Khi đi qua proxy SOCKS5 thường chỉ thấy TCP.
Theo dõi khi làm việc lâu
Nếu kết nối đứt sau một khoảng thời gian cố định, ví dụ đúng 30 phút hay 60 phút, nhiều khả năng proxy hoặc tường lửa đang cắt kết nối giữ lâu. Hỏi nhà cung cấp proxy về giới hạn thời gian kết nối, hoặc bật giữ kết nối trong Proxifier.
Lưu cấu hình kết nối để dùng lại
Khi đã cấu hình xong, lưu lại để không phải làm lại mỗi lần.
Tệp .rdp
Trong Remote Desktop Connection, bấm Show Options, chỉnh xong các thiết lập hiển thị, trải nghiệm, Gateway, bấm Save As để lưu tệp .rdp. Mở tệp là kết nối với đúng thiết lập. Với đường hầm SSH, tệp .rdp trỏ tới localhost và cổng chuyển tiếp.
Hồ sơ Proxifier
Xuất hồ sơ Proxifier ra tệp để mang sang máy khác hoặc khôi phục sau khi cài lại Windows. Không chia sẻ hồ sơ có mật khẩu proxy cho người khác.
Ghi chép
Lập bảng gồm tên VPS, IP, cổng RDP, proxy được phép, ngày hết hạn proxy. Khi proxy sắp hết hạn, gia hạn đúng IP đó để không phải sửa tường lửa của VPS. Nếu buộc phải đổi proxy, thêm IP mới vào tường lửa trước, kiểm tra kết nối được, rồi mới xoá IP cũ, tránh tự khoá mình ra ngoài.
Lỗi thường gặp khi RDP qua proxy
Hiện tượng |
Nguyên nhân hay gặp |
Cách xử lý |
|---|---|---|
Không kết nối được, báo lỗi 0x204 |
Không tới được cổng 3389, proxy không cho CONNECT |
Dùng SOCKS5, kiểm tra rule |
Kết nối được rồi đứt liên tục |
Proxy cắt kết nối dài, UDP chập chờn |
Tắt UDP phía khách, đổi proxy ổn định |
Chuột, bàn phím trễ |
Proxy ở xa |
Chọn proxy gần, giảm chất lượng hình |
Proxifier không bắt được mstsc |
Sai tên tệp trong rule |
Dùng mstsc.exe, kiểm tra thứ tự rule |
VPS vẫn thấy IP nhà |
Kết nối không qua proxy |
Kiểm tra nhật ký Proxifier |
Mất kết nối VPS sau khi cài proxy trong VPS |
Proxifier trong VPS đẩy dịch vụ hệ thống qua proxy |
Thêm rule đi thẳng cho dịch vụ |
Lỗi chứng chỉ với RD Gateway |
Proxy công ty giải mã HTTPS |
Loại trừ tên miền Gateway |
Khi proxy từ chối kết nối, đọc thêm bài máy chủ proxy từ chối kết nối.
Chọn proxy cho Remote Desktop
Proxy tĩnh để khai báo trên tường lửa
Mục đích chính của nhiều người là có một IP cố định để khai báo cho phép trên VPS. Proxy tĩnh, IP không đổi, là bắt buộc. Proxy xoay không dùng được cho việc này.
SOCKS5 thay HTTP
SOCKS5 chuyển tiếp TCP tới mọi cổng, phù hợp RDP hơn proxy HTTP thường giới hạn cổng 443. Khác biệt chi tiết có trong bài proxy HTTP và SOCKS5.
Gần và ổn định
Proxy gần VPS, ít mất gói, giữ kết nối dài không bị cắt. Anh em cần proxy SOCKS5 tĩnh IP Việt Nam theo nhà mạng Viettel, VNPT, FPT hoặc datacenter để kết nối RDP có thể mua proxy tại ProxyVN.
Câu hỏi thường gặp về Remote Desktop proxy
Remote Desktop Connection có cài proxy được không
Không có ô cài proxy. Dùng Proxifier, ProxyCap để ép mstsc qua SOCKS5, đường hầm SSH, hoặc RD Gateway.
Cài proxy trong Windows có làm RDP đi qua proxy không
Không. Proxy trong Windows Settings dành cho ứng dụng HTTP. RDP kết nối TCP trực tiếp, không đọc cài đặt này.
RDP qua proxy có an toàn không
Nội dung phiên RDP được mã hoá bởi RDP, proxy không đọc được. Rủi ro nằm ở việc proxy biết mình kết nối tới VPS nào. Dùng proxy tin cậy và giữ các biện pháp bảo mật cho cổng 3389.
Dùng proxy miễn phí để RDP được không
Không nên. Proxy miễn phí chập chờn, độ trễ cao, có thể ghi lại thông tin kết nối. Kết nối RDP đứt giữa chừng khi đang chạy công việc trên VPS gây mất thời gian.
Có cần proxy khi VPS đã có IP riêng không
Kết nối RDP tới VPS không cần proxy nếu mạng của mình không chặn cổng. Proxy chỉ cần khi muốn giới hạn IP được phép, đi qua mạng chặn, hoặc ẩn IP nhà.
RDP qua proxy có dùng được nhiều màn hình, chia sẻ ổ đĩa không
Được. Các tính năng như nhiều màn hình, chia sẻ ổ đĩa, máy in, clipboard đều đi trong cùng kết nối RDP, nên đi qua proxy như bình thường. Chỉ lưu ý chép tệp lớn qua ổ đĩa chia sẻ sẽ chiếm băng thông của proxy, làm màn hình phản hồi chậm trong lúc chép.
Tổng kết
Remote Desktop proxy không có ô cài trong mstsc, nên đưa RDP qua trung gian bằng ba cách: Proxifier hoặc ProxyCap ép mstsc qua SOCKS5, đường hầm SSH qua máy trung gian, hoặc RD Gateway đóng gói RDP vào HTTPS cho doanh nghiệp. Phân biệt rõ proxy cho kết nối RDP với proxy cho ứng dụng bên trong VPS. Chọn proxy tĩnh gần VPS, tắt UDP khi chập chờn, và không mở cổng 3389 công khai mà không giới hạn IP. Cần proxy SOCKS5 tĩnh ổn định cho RDP và VPS, anh em liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn.
