Windows Server, AD и Роли

Удаленный доступ к ПК: почему связка VPN + RDP безопаснее AnyDesk

Обновлено: 27.08.2026 · Официальная документация ↗

Риски использования сторонних программ удаленного доступа

Программы удаленного управления (AnyDesk, TeamViewer, RustDesk, Ammyy Admin) популярны благодаря простоте: достаточно установить программу и продиктовать 9-значный код. Однако использование таких сервисов в корпоративной среде несет в себе критические риски информационной безопасности.

Основные угрозы открытых утилит удаленного доступа:

Трафик и сессии проходят через сторонние облачные серверы разработчиков за пределами РФ/контроля компании.
Сотрудники могут передать ID и пароль третьим лицам или стать жертвами телефонных мошенников.
Невозможность централизованного аудита действий и принудительного двухфакторного контроля (2FA).
Риск компрометации самих сервисов (массовые инциденты взлома серверов вендоров).

Критерий безопасности	Облачные утилиты (AnyDesk/TeamViewer)	Корпоративный VPN + RDP
Шифрование и контроль периметра	Облако провайдера	Собственный шлюз (IPsec/WireGuard/SSL)
Двухфакторная аутентификация (2FA/MFA)	Опционально (на стороне пользователя)	Обязательно на VPN-шлюзе
Контроль подключений	Сложно контролировать централизованно	Полный аудит в Active Directory
Проброс внешних атак на RDP порт	Отсутствует (но уязвим софт)	Порт 3389 полностью скрыт из интернета

Архитектура безопасного удаленного подключения

Единственный признанный стандарт безопасного корпоративного удаленного доступа строится по двухконтурной схеме: Защищенный VPN-туннель -> Внутритуннельная RDP-сессия.

VPN-туннель (Первый уровень защиты): сотрудник подключается через защищенный VPN-клиент (например, WireGuard, OpenVPN, FortiClient) с обязательным вводом одноразового кода из приложения на телефоне (2FA/MFA).
RDP-подключение (Второй уровень защиты): только после установления шифрованного туннеля запускается стандартная утилита mstsc для подключения к рабочему ПК или терминальному серверу:

# Запуск безопасного удаленного рабочего стола через командную строку
mstsc /v:192.168.10.45

# Проверка активности службы RDP и порта 3389 на сервере
Test-NetConnection -ComputerName 192.168.10.45 -Port 3389

Категорически запрещено: Никогда не публикуйте порт RDP (3389) напрямую в сеть Интернет с помощью Port Forwarding на роутере! Сервер будет взломан автоматическими ботами-подборщиками паролей в течение первых суток.

💡 Практика специалистов: При построении удаленной работы мы блокируем доступ к RDP со всех внешних IP-адресов. Доступ разрешается строго внутри VPN-сегмента, где каждый пользователь проходит обязательную двухфакторную аутентификацию (2FA) через Telegram-бот или Push-уведомление.

Частые вопросы (FAQ)

Почему нельзя просто сменить стандартный порт RDP 3389 на другой (например, 43389)?

Смена порта защищает только от самых примитивных ботов. Современные сканеры сети (Shodan, Masscan) определяют протокол RDP на любом нестандартном порту за пару секунд.

Нужно ли отключать AnyDesk на офисных компьютерах?

Да, в корпоративных сетях утилиты удаленного доступа сторонних вендоров блокируются на уровне файрвола и политик AppLocker/GPO для предотвращения теневых каналов утечки данных.

Что такое Network Level Authentication (NLA) в RDP?

NLA (проверка подлинности на уровне сети) — это функция безопасности, требующая аутентификации пользователя ДО создания графической сессии RDP, что защищает сервер от DoS-атак и эксплойтов.

Можно ли настроить двухфакторную аутентификацию прямо в RDP?

Да, через установку шлюза RD Gateway с сервером Microsoft NPS (RADIUS) или сторонних модулей защиты (Multifactor, JaCarta, Duo Security).