RDP Protection

RDP Protection nedir?

Çözülen problem gerçek: RDP’yi internete açmak, kaba kuvvet ve fidye yazılımı saldırılarının en yaygın giriş kapılarından biri. Dört yol da 3389 portunu internetten kaldırmayı hedefliyor — ama farklı derecelerde başarıyorlar.

Nasıl çalışır?

Yol 1 — Tarayıcı tabanlı RDP

İstemci kurmadan, tarayıcıdan bağlanma. Yaşam döngüsü:

Yol 2 — Cloudflare One istemcisiyle RDP

WARP istemcisi kurulu bir cihazdan, yerel mstsc ile bağlanma.

Yol 3 — İstemci tarafı cloudflared

cloudflared access rdp --hostname rdp.ornek.com.tr --url rdp://localhost:3389

Ardından mstsc ile localhost:3389’a bağlanıyorsun.

Yol 4 — Spectrum üzerinden 3389

Spectrum’un protokol tablosunda RDP bir satır: Business veya Enterprise gerekiyor, tek uygulama.

Daha iyi modern desen: Spectrum artık origin olarak bir Cloudflare Tunnel sanal ağı kullanabiliyor — Windows makinesinin public IP’si olmasına gerek kalmıyor.

“Virtual network origins are only supported for TCP and UDP applications. The origin must be a single private IP routable within the specified virtual network. Port ranges, hostname origins (origin_dns), and multiple addresses in origin_direct are not supported. Proxy Protocol is not currently supported, so proxy_protocol must be set to off.”

Kimlik doğrulamanın sınırı

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır

• 3389’u internetten kaldırmak istiyorsan. Dört yolun dördü de bunu farklı derecelerde yapıyor.
• Yüklenici veya dış ekiplere geçici erişim veriyorsan. Tarayıcı tabanlı RDP istemci kurulumu gerektirmiyor — en büyük operasyonel kazanç bu.
• Kimlik sağlayıcın üzerinden SSO ve MFA istiyorsan. Windows parolasının önüne bir katman ekliyorsun.
• Cihaz duruşu (device posture) kontrolü yapmak istiyorsan. WARP yolunda bu mümkün.

Kullanılmaz

Windows kimlik yönetiminden kurtulmayı bekliyorsan. Kullanıcı kimliklerinin sunucuda önceden tanımlı olması zorunlu. Cloudflare bir katman ekliyor, mevcut katmanı kaldırmıyor.

RDP oturum kaydı gerekiyorsa. Belgelenmiş bir özellik yok.

Spectrum-on-3389’u güvenlik çözümü sanıyorsan. Business planında IP filtreleme yok, Proxy Protocol yok, WAF yok. Hedefi taşıyorsun, kaldırmıyorsun.

Türkçe klavye garantisi arıyorsan. Genel bir iddia var, Türkçe için belgelenmiş bir teyit yok.

Koltuk maliyetini öngöremiyorsan. Her kimlik doğrulayan kullanıcı bir koltuk tüketiyor ve revoke etmek koltuğu boşaltmıyor. Yüklenici trafiği yoğun bir kurumda bu, beklenmedik bir maliyet kalemi.

Dosya transferine üretimde güveneceksen. Özellik beta ve “Transfer history is discarded when the RDP session ends.”

cloudflared sürecini ayakta tutamayacaksan. İstemci tarafı yol, süreç ölünce bağlantıyı da öldürüyor.

Somut örnekler

Tarayıcı tabanlı RDP — hedef oluşturma

# Infrastructure target
curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/infrastructure/targets" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "hostname": "win-sunucu-01",
    "ip": { "ipv4": { "ip_addr": "10.0.1.20", "virtual_network_id": "'"$VNET_ID"'" } }
  }'

Tunnel yapılandırması

# ~/.cloudflared/config.yml
tunnel: <TUNNEL_ID>
credentials-file: /root/.cloudflared/<TUNNEL_ID>.json
ingress:
  - hostname: rdp.ornek.com.tr
    service: rdp://10.0.1.20:3389
  - service: http_status:404

Özel ağ için catch-all Gateway kuralı

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "name": "ozel-ag-varsayilan-blok",
    "action": "block",
    "filters": ["l4"],
    "traffic": "net.dst.ip in {10.0.0.0/8 172.16.0.0/12 192.168.0.0/16}",
    "precedence": 10000
  }'

Bu kuralı önce yaz, sonra izin kurallarını daha düşük precedence ile ekle.

İstemci tarafı cloudflared

cloudflared access rdp --hostname rdp.ornek.com.tr --url rdp://localhost:3389
# ardından mstsc ile localhost:3389

systemd ile ayakta tutmak:

# /etc/systemd/system/cf-rdp.service
[Unit]
Description=Cloudflare RDP erisimi
After=network-online.target

[Service]
ExecStart=/usr/local/bin/cloudflared access rdp --hostname rdp.ornek.com.tr --url rdp://localhost:3389
Restart=always
RestartSec=5

[Install]
WantedBy=multi-user.target

Spectrum üzerinden 3389 (en zayıf yol)

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/spectrum/apps" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "protocol": "tcp/3389",
    "dns": { "type": "CNAME", "name": "rdp.ornek.com.tr" },
    "origin_direct": ["tcp://203.0.113.20:3389"],
    "ip_firewall": false,
    "proxy_protocol": "off"
  }'

ip_firewall ve proxy_protocol Business planında zaten kullanılamıyor — yukarıdaki değerler kaçınılmaz.

Demo 1: Üç yolu yan yana kurup farklarını ölçmek

Adım 1 — Windows sunucusunu hazırla

# RDP'yi aç ama güvenlik duvarında yalnızca yerel ağa izin ver
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' `
  -Name "fDenyTSConnections" -Value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

# İnternete kapalı olduğunu doğrula
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

RDP'nin açık, güvenlik duvarının yalnızca yerel ağa izin verdiği PowerShell çıktısı

Adım 2 — 3389’un internetten kapalı olduğunu kanıtla

# Dışarıdan bir makineden
nmap -p 3389 -Pn 203.0.113.20
nc -zv -w 5 203.0.113.20 3389

nmap çıktısında filtered veya closed durumu

Adım 3 — Tarayıcı tabanlı RDP ile bağlan

Hiçbir istemci kurulmadan tarayıcıda açılan Windows masaüstü

Adım 4 — Türkçe klavyeyi test et

Tarayıcı oturumunda Türkçe Q ve F düzeniyle şu karakterleri yaz: ş ğ İ ı ö ç ü Ş Ğ Ö Ç Ü

Tarayıcı RDP oturumunda Not Defteri'ne yazılan Türkçe karakterlerin doğru görünüp görünmediği

Adım 5 — Pano ve dosya transferini test et

Kopyala-yapıştır işleminin yerel makine ile uzak oturum arasında çalışması

Bir dosyanın tarayıcı oturumuna sürükle-bırakla aktarılması

Limitleri test et: 2 GB’lık tek dosya, 1.000 dosyalık toplu yükleme.

Adım 6 — Ayarların zıtlığını kanıtla

Tarayıcı tabanlı RDP  → "Authenticate with Cloudflare One Client" = KAPALI
Yerel istemci (mstsc) → "Authenticate with Cloudflare One Client" = AÇIK

Access uygulama ayarlarında bu seçeneğin iki yol için farklı olması gerektiğini gösteren ekran

Yanlış ayarla dene ve ne olduğunu göster: tarayıcı yolunda açıksa çalışmıyor; mstsc yolunda kapalıysa 302 yönlendirmesi takip edilemediği için bağlantı kurulamıyor.

Bu demoda ölçülenler:

Demo 2: Spectrum yolunun neden zayıf olduğunu kanıtlamak

Bu demo, bir güvenlik kararını veriyle destekliyor.

Adım 1 — Spectrum uygulamasını kur

tcp/3389 protokolüyle oluşturulan Spectrum uygulamasının panel görünümü

Adım 2 — Bağlan ve Windows olay günlüğüne bak

# Başarılı oturum açma olayları — kaynak IP'ye dikkat
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} -MaxEvents 10 |
  Select-Object TimeCreated, @{n='KaynakIP';e={$_.Properties[18].Value}}, `
                @{n='Kullanici';e={$_.Properties[5].Value}} | Format-Table

4624 olaylarında kaynak IP'nin gerçek kullanıcı IP'si değil bir Cloudflare adresi olması

Adım 3 — Kaba kuvvet denemesi yap

Kontrollü bir ortamda, kendi test hesabına karşı birkaç hatalı oturum açma denemesi yap.

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='KaynakIP';e={$_.Properties[19].Value}}, `
                @{n='Kullanici';e={$_.Properties[5].Value}} | Format-Table

4625 olaylarının hepsinde aynı Cloudflare IP'sinin görünmesi

Hedefin taşındığını, kaldırılmadığını gösteren ekran bu: 3389 hâlâ erişilebilir, sadece adresi değişti.

Adım 4 — IP filtreleme yapamadığını göster

Business planında ip_firewall ayarını açmayı dene.

ip_firewall alanının reddedildiği API hatası veya panelde devre dışı seçenek

Adım 5 — WAF’ın uygulanmadığını göster

Bir WAF custom rule yaz ve Spectrum trafiğine uygulanmadığını Security Events’ten doğrula.

Security Events'te RDP trafiğine ait hiçbir WAF kaydının olmaması

“Spectrum… cannot apply WAF rules to TCP traffic.”

Adım 6 — Aynı testi tarayıcı tabanlı RDP ile tekrarla

Access oturum açma ekranı — RDP'ye ulaşmadan önce kimlik doğrulaması

Cloudflare One denetim loglarında kimin, ne zaman, hangi cihazdan bağlandığı

Windows olay günlüğü hâlâ Cloudflare IP’si gösteriyor — ama artık Cloudflare tarafında kim olduğunu bilen bir log var. Spectrum yolunda o log yok.

Bu demoda ölçülenler:

Fiyatlandırma

Hesap limitleri

“These limits may be increased on Enterprise accounts.”

Dosya transferi limitleri (beta)

Dosya başına 2 GB · yükleme başına en fazla 1.000 dosya · sürükle-bırak klasörlerde toplam 1.000 girdi. Ve: “Transfer history is discarded when the RDP session ends.”

Lisanslama ve hukuki çerçeve

Hizmet tescillidir ve Cloudflare Hizmet Şartları’na tabidir.

Uzak masaüstü oturumları ve KVKK. Bir RDP oturumu, çalışanın ekranındaki her şeyi Cloudflare altyapısı üzerinden taşıyor. Tarayıcı tabanlı RDP’de görüntü Cloudflare’de işlenip tarayıcıya render ediliyor. Bu, kişisel veri içeren bir ekranın üçüncü taraf altyapısından geçmesi anlamına geliyor.

Cloudflare bu konuda RDP’ye özgü bir metin yayımlamıyor. Genel Zero Trust veri işleme çerçevesi geçerli.

Oturum kaydı yok — bu bir avantaj da olabilir. RDP oturumları kaydedilmediği için “çalışan ekranı kaydediliyor mu” sorusunun cevabı hayır. Ama denetim gereksinimin kayıt istiyorsa bu bir eksiklik.

Windows kimlikleri sende kalıyor. “Any user identifier used to authenticate must be pre-configured on the server.” Yani Active Directory veya yerel hesap yönetimi, parola politikaları ve hesap yaşam döngüsü senin sorumluluğunda kalıyor. Cloudflare bir katman ekliyor.

Dosya transferi ve veri sızıntısı. Beta’daki dosya transferi özelliği iki yönlü. Veri sızıntısı politikan varsa bu özelliği bilinçli olarak açıp kapatman gerekiyor — ve transfer geçmişi oturum bitince siliniyor, yani denetim izi bırakmıyor.

Sık yapılan hatalar

Cloudflare’in bir “RDP ürünü” olduğunu sanmak. Yok — dört yol var ve biri diğerlerinden çok daha zayıf.

Spectrum-on-3389’u güvenlik çözümü sanmak. Business planında IP filtreleme, Proxy Protocol ve WAF yok. Hedefi taşıyorsun, kaldırmıyorsun.

Kısa ömürlü sertifikaların RDP’de de olduğunu sanmak. Yalnızca SSH.

RDP oturum kaydı beklemek. Belgelenmiş bir özellik yok.

İstemci tarafı cloudflared’i Access olmadan kullanmak. “anyone on the Internet can connect.”

WARP kaydını yetkilendirme sanmak. Kayıtlı her cihaz varsayılan olarak bağlanabiliyor.

Split Tunnels’ı yapılandırmamak. Sessiz zaman aşımı; hata mesajı yok.

“Authenticate with Cloudflare One Client” ayarını iki yol için aynı yapmak. Tarayıcı yolunda kapalı, mstsc yolunda açık olmalı.

cloudflared sürecini ayakta tutmayı planlamamak. Süreç ölünce erişim de ölüyor.

Koltuk tüketimini yanlış hesaplamak. Revoke etmek koltuğu boşaltmıyor; silmek gerekiyor.

Servis token seçeneğini bilmemek. Makine-makine erişimi koltuk tüketmeden yapılabiliyor.

Türkçe klavyeyi test etmeden üretime almak. Belgelenmiş bir garanti yok.

Dosya transferinin denetim izi bıraktığını sanmak. Oturum bitince geçmiş siliniyor.

63 karakterlik uygulama URL’si sınırını bilmemek. Uzun hostname’lerde sessizce takılıyorsun.