Remote Verwaltungstool und Remotedesktopdienste

[Sommer2016 0]

Hallo. Ich habe mir die Remoteverwaltungsdienste auf meinen Windows Rechner gemacht, funktioniert. Nun würde ich gerne ebenfalls von meinem Cleint auch von unserem Terminalserver die Remotedesktopdienste verwalten können, um mal eine Session zu beenden oder so. Geht das auch? LG 

[Nobbyaushb 1.371]

Kommt drauf an - über welches OS reden wir jeweils?

 

;)

[Sommer2016 0]

Ahja. ;-) Stimmt hat gefehlt.

Also Server 2008R2 ist der Terminal und dann sowohl ein WIN7 32 bit wie auch WIN10 64 bit Client, von denen ich das machen will.

[blub 115]

btw: Ich würde nicht mehr NLA als Option aktivieren, da unsichere Protokolle verwendet werden.

[Sommer2016 0]

Ok. Wie kann ich das verstehen? Also so das ich es verstehe ☺️

[blub 115]

NLA führt vor der eigentlichen RDP Anmeldung am Server eine Art Voranmeldung mit den Credentials durch, um Resourcen am Zielserver zu schonen und auch um DenialOfService-Angriffe zu verhindern. Diese Vor-Übertragung der Credentials beruht auf dem CredSSP-Protokoll, welches wiederum auf TLS1.0 basiert.

TLS1.0 kann man als "gebrochen" betrachten. (Google: TLS1.0 + deprecated). d.h diese vorübertragenen Credentials liegen offen für MITM-Attacks. Credentials zu verlieren ist in den meisten Fällen schlimmer als eine DOS-Attacke.

 

RDP sollten Administratoren aus Securitygründen wegen dieser veralteten Protokolle generell nur als letzten Ausweg benutzen. WMIconnects oder Remotepowershell sind als Verwaltungstools deutlich besser!

 

blub

[Sommer2016 0]

Also du meinst, generell mit RDP zu arbeiten (so wie es fast alle User hier mit den Thin Clients machen) ist deswegen nicht von Vorteil?

[blub 115]

RDP ist eine gefährliche Angelegenheit, die zumindest sauber konfiguriert gehört (siehe die zugehörigen GPO-Einstellungen).

Weiter ist, wie schon angesprochen, die Problematik mit TLS 1.0/ CredSSP zu beachten, auch wenn hoffentlich der Update-Patch KB3080079 auf allen w2008R2/ win7 Systemen installiert ist.

 

https://support.microsoft.com/en-us/kb/3080079

https://support.microsoft.com/en-us/kb/3097192

 

Und auch wenn RDP mit maximaler Sicherheit konfiguriert ist, so sollten Admins trotzdem möglichst auf andere Möglichkeiten ohne interactive Anmeldung wie Powershell/ WMI etc. ausweichen um Remotemaschinen zu administrieren.

So ist zumindest meine Empfehlung an unsere Admins. Die Begeisterung über diesen Vorschlag ist riesig :cool:

[Sommer2016 0]

Ich verstehe nun da meißte, danke.... 

Ich habe noch 2 weitere Fragen : 

- 1 Könnte ich denn von meinem Client die Remotedesktopdienste aus dem Servermanager verwalten, sowie mit den AD Remoteverwaltungsdiensten?

- 2 Was hälst du von Admins, die Teamviewer nutzen um auf die Server zu gehen ^^

[blub 115]

Sehr viel ist ja schon gewonnen, wenn man ein bischen sensibler mit dem SecurityThema umgeht. Wie oft werden beispielsweise WindowsServer neu installiert, als erstes die Windows Firewall deaktivert und als zweites RDP ohne Nachzudenken aktiviert und genutzt.

Irgendwann später kommt die Maschine dann mal in die Domäne und wird dort erst aktuell gepatcht.  ... Zumindest bis dahin waren die Tore weit geöffnet!

(da sind auch gestandene Admins dabei, keine User und keine Geschäftsführer)

 

 

Standardadministrationstools wie der Servermanager oder die Remoteverwaltungsdienste sind einer RDP-Connection möglichst vorzuziehen. Aber wenn man RDP benutzen muss, sollte man sich der möglichen Schwachpunkte bewusst sein und auch wie man diese abfedert.

Teamviewer habe ich mir nie besondes tief angesehen.

[Sommer2016 0]

Also eines wäre mir noch offen. Kann ich die Remotedeskopdienste nun auch auch vom Client steuern?

[blub 115]

klar!

RSAT Tools installieren

Start - run - open "servermanager"

Zumindest bei Win10 steht dir mit entsprechenden Rechten alles offen. Bei Win8/ 8.1 wahrscheinlich auch. Win7 musst du mal selbst probieren

 

RDP muss meist  nicht mehr sein :-)

[Sommer2016 0]

Ah cool. Das habe ich garnicht gesehen ;-)

Habs mal versucht. Das steht "Online - Stellen Sie sicher, dass der WinRM 3.0-Dienst installiert ist, ausgeführt wird und die erforderlichen Firewallports geöffnet sind." Welche Ports sind denn benötigt?

[Sunny61 773]

Das steht "Online - Stellen Sie sicher, dass der WinRM 3.0-Dienst installiert ist, ausgeführt wird und die erforderlichen Firewallports geöffnet sind." Welche Ports sind denn benötigt?

Hier gehts weiter: http://blog.alekel.de/server-2008-und-2008-r2-mit-dem-server-manager-201-verwalten/

https://technet.microsoft.com/de-de/library/hh921475.aspx

[blub 115]

5985 und 5986 mit Verschlüsselung