Remote desktop met fritzbox5490 geen toegang

[Theo86]

Mijn vraag
Graag tips: MS remote desktop werkt prima op mijn interne netwerk, maar niet via een extern (wifi) netwerk. Ik heb het gevoel dat mijn Fritzbox 5490 extern verkeer naar mijn desktop blokkeert.

Relevante software en hardware die ik gebruik
Fritzbox 5490, desktop met win10 pro, Desktop met VPN (PIA)

Wat ik al gevonden of geprobeerd heb
Eerdere blogs/ vragen op dit forum bekeken en daarom in Fritzbox5490 onder tab internet/ pemit access de desktop via portsharing toegang gegeven. Wel/ niet independent port sharing geeft echter geen verschil (en ben ik huiverig voor). Ik heb bovendien een vast IP-adres toegekend (standaard vink in fritzbox-menu).

Heeft iemand nog tips, hoe ik de desktop wel via extern netwerk kan benaderen?

[KermieCow]

je wilt alleen RDP toegang tot je pc? Dan moet je buitenaf ook een poortje openzetten om je RDP doorheen te laten.. 3389 is standaard, als je die openzet in je modem en doorverwijst naar je pc, dan moet het werken..

let op, 3389 is standaard en wordt ook heel veel gescanned over internet en daarna geprobeerd om in te loggen, dus zorg wel voor een heel sterk wachtwoord ( en een eigen gebruikersnaam, niet met standaard administrator account werken ).

[HKLM_]

Je wilt 3389 echt niet extern open hebben ook niet meer een sterk wachtwoord... zet er een pi ofzo voor met openvpn en anders niet. Veel te veel risico wat je echt niet moet willen.

[MAX3400]

Euh, niet om erg lastig te doen maar "port sharing" heeft werkelijk helemaal niks te maken met RDP. Als je random dingen in je router gaat aanklikken, weet ik eigenlijk niet zo goed of je wel zelf moet gaan denken om je PC van buitenaf via RDP open te willen zetten.

Zoals @KermieCow aangeeft, 3389 is een vrij standaard poort(scan) dus je kan allicht bedenken of je een andere poort gaat gebruiken en/ook specfieke firewall-rules in je router gaat instellen.

Je PIA gaat niet helpen; dat is van binnen naar buiten en niet andersom (dus niet van toepassing); allicht kan je ook, zoals @HKLM_ aangeeft, een VPN naar binnen opbouwen. Veel routers kunnen dat zelf ondersteunen; zo draai ik OpenVPN op mijn Asus router en kan ik altijd "less insecure" van buiten naar huis verbinden.

Theo86 schreef op zondag 28 juni 2020 @ 11:07:
Ik heb het gevoel dat mijn Fritzbox 5490 extern verkeer naar mijn desktop blokkeert.

Dat kan; heeft de Fritzbox geen logging dan?

[ Voor 13% gewijzigd door MAX3400 op 28-06-2020 13:53 ]

[Theo86]

Dank. Poortje 3389 open zetten werkt! Zit wel met genoemde securitypunten.

Heb wel andere username en sterk wachtwoord. Ik zag dat Fritzbox ook vpn instelling en fw-rules biedt. Zal dit uitproberen.

Bij zo'n massaprodukt als MS RD had ik meer leveranciers tips verwacht op routergebied. Meer mensen moeten toch last hebben van jullie genoemde security issues?

[lier]

Theo86 schreef op maandag 29 juni 2020 @ 07:51:
Bij zo'n massaprodukt als MS RD had ik meer leveranciers tips verwacht op routergebied. Meer mensen moeten toch last hebben van jullie genoemde security issues?

De mensen aan wie jij refereert zijn inmiddels een stap verder (in kennis) en hangen niet zo maar dingen aan Internet. De netste en eenvoudigste oplossing is een VPN server inrichten, zodat je van buitenaf op je LAN kan komen.

[Croga]

Theo86 schreef op maandag 29 juni 2020 @ 07:51:
Heb wel andere username en sterk wachtwoord.

Als het protocol ook maar het minste lek heeft ben je nu al te laat. Ik weet niet hoe het op dit moment met RDP security staat (en of je überhaupt alle updates geïnstalleerd hebt staan) maar in het verleden zijn er nog wel eens lekken geweest. En dan ben je binnen een paar minuten na het open zetten van de poort tot bot in een botnet gepromoveerd.

- Andere poort instellen heeft geen enkele toegevoegde waarde; een poortscan laat de scanner zien dat jij RDP draait op een andere poort en je bent net zo goed het haasje
- Sterk wachtwoord heeft beperkt zin. Dit soort aanvallen werkt nagenoeg nooit met een brute force aanval maar nagenoeg altijd met exploits. Daar gaat je authenticatie niets tegen doen

Ik zou je sterk adviseren die poort onmiddelijk weer dicht te gooien en onderzoek te gaan doen naar VPN; dat is wat je nodig hebt.

[Trommelrem]

RDP aan internet hangen is echt niet meer van deze tijd.
Een full-open VPN is ook niet meer van deze tijd. Zorg ervoor dat je VPN subnet alleen een open TCP/3389 en UDP/3389 heeft.
Of gebruik bij voorkeur een RDG of WVD. Met de laatste is MFA makkelijk te implementeren.

[MAX3400]

@Theo86 alles lijkt al gezegd qua security en aanvullende oplossingen. Eventueel (als beperkt lapmiddel) even Googlen hoe je OF in je register de RDP-port verandert (en dus ook je Fritzbox firewall) OF je poortmapping gaat toepassen als voorbeeld:

82.16.16.16:18162 -> 192.168.1.14:3389

Waarbij beide IP's fictief jouw WAN en intern IP zijn.

[lier]

MAX3400 schreef op maandag 29 juni 2020 @ 09:07:
@Theo86 alles lijkt al gezegd qua security en aanvullende oplossingen. Eventueel (als beperkt lapmiddel) even Googlen hoe je OF in je register de RDP-port verandert (en dus ook je Fritzbox firewall) OF je poortmapping gaat toepassen als voorbeeld:

Dat wordt "security through obscurity" genoemd en zou je (hooguit) als aanvulling op andere mechanismes willen gebruiken: Wikipedia: Security through obscurity

[MAX3400]

lier schreef op maandag 29 juni 2020 @ 09:40:
[...]

Dat wordt "security through obscurity" genoemd...

Vandaar ook "beperkt lapmiddel" benoemd.

[Theo86]

Dank allemaal. Heel nuttig en leerzaam.

[Schumaster]

Theo86 schreef op dinsdag 30 juni 2020 @ 08:42:
Dank allemaal. Heel nuttig en leerzaam.

Heb je 3389 nu al dichtgezet? Dit is echt not done, als je hem open laat staan heb je binnen 5 dagen een cryptolocker op je PC staan en ben je al je bestanden kwijt.

[Theo86]

Jazeker, heb ik direct gedaan :-)