VPN и RDP: Автоматизация настройки удаленных рабочих мест

Развертывание VPN и RDP клиентов для удаленных пользователей 

В рамках данного блога были публикации о настройке VPN сервера.

2020 год принес всем сюрприз в виде съеденной летучей мыши.

В марте нынешнего года пришлось организовывать несколько десятков удаленных рабочих мест штатными средствами (Windows 7, 8  и 10 ).

Для себя я выбрал связку Softether VPN как VPN сервер и Windows Terminal Server как Сервер терминалов:)

Для быстроты развертывания на клиентской стороне VPN и RDP  были созданы скрипты простые автоматизации.

Забегая вперед — полностью автоматизировать настройку у меня не получилось, удалось сократить время настройки на 70-80% удалось.

Общая идея:

1. Автоматизировать VPN и  RDP подключение пользователем запуском одного файла.
2. При отключении RDP сессии отключаться от VPN сервера.
3. Ускорить развёртывание на стороне клиента

Реализация:

1. Шаблон VPN соединения
2. Шаблон RDP файла
3. Программа cmdow для сокрытия активного окна CMD
4. Bat скрипт автоматизации подключения
5. Bat скрипт создания клиентских подключений

Считаем, что VPN сервер (L2TP/IPSec) настроен и доступен по адресу vpn.mydomain.ru.

В сети до сих пор есть описания о создании терминальных серверов с пробросами портов в инет.
Как защиту предлагают сменить стандартный порт 3389 на другой.
!Никогда так не делайте, обязательно ставьте в разрыв VPN сервер! 

Создадим директорию проекта:

mkdir %SystemDrive%\VPNconnect

Создание «шаблона» VPN подключения:

Настраиваем и тестируем VPN соединение, после удачного теста сохраняем его данные в текстовый файл под именем my.pbk.

Для этого открываем текстовым редактором файл:

notepad %USERPROFILE%\AppData\Roaming\Microsoft\Network\Connections\Pbk\rasphone.pbk

Если на вашей машине одно соединение, то можно просто скопировать данный файл в рабочую папку проекта.

Если несколько подключений, то скопируйте руками в новый файл данные нужного подключения.

Ориентир — название подключения в квадратных скобках:
[vpn.mydomain.ru]

Конец конфигурации заканчивается блоком:
DEVICE=vpn

Этот файл в дальнейшем мы будем импортировать клиентам.

При импорте мы потеряем логин, пароль и общий ключ IPSec.

Создадим в директории проекта RDP файл (текстовый файл c расширением rdp):

Обращаем внимание на 3 строки и меняем их на нужные:

• full address:s:192.168.66.223 — адрес вашего терминального сервера
• drivestoredirect:s:Локальный диск (C:); — перенаправление локального диска пользователя
• username:s:MYDOMAIN\vladimir  — логин пользователя

Более полное описание доступных переменных в rdp файле

Докидываем в директорию проекта cmdow.exe из скаченного архива по пути \bin\Release (альтернативная ссылка).

Итого в директории у нас 3 файла:

1. my.pbk — шаблон VPN соединения
2. my.rdp — RDP файл
3. cmdow.exe — программа для скрытия рабочего окна скрипта 

Создадим 2 bat-скрипта в директории проекта:

1. install.bat — скрипт установщик
2. connect.bat — скрипт запуска VPN и RDP сессий

notepad++ %SystemDrive%\VPNconnect\connect.bat

cmdow @ /HID
rasdial vpn.mydomain.ru username password
mstsc.exe my.rdp
rasdial vpn.mydomain.ru /disconnect

notepad++ %SystemDrive%\VPNconnect\install.bat

copy my.rdp connect.bat %USERPROFILE%\Desktop
copy cmdow.exe %LOCALAPPDATA%|
type my.pbk >> %USERPROFILE%\AppData\Roaming\Microsoft\Network\Connections\Pbk\rasphone.pbk
REM Открываем в панели управления сетевые адаптеры для установки IPSec общего ключа
ncpa.cpl

Заполняем корректными данными RDP файл (адрес сервера, имя пользователя).

В файле connect.bat указываем корректные имя и пароль.

Разворачиваем клиентов

Копируем директорию проекта на компьютер клиента.

Переходим в директорию и запускаем от администратора install.bat.

Устанавливаем IPSec ключ в свойствах сетевого адаптера:
На рабочем столе клиента появились два файла:

1. connect.bat — поднимает VPN соединение, RDP сессию (на основе файла my.rdp)
   гасит VPN коннект после отключения RDP сессии
2. my.rdp — необходим для RDP сессии

После запуска connect.bat произойдет подключение к VPN серверу и после этого запустится RDP сессия.

На этом наверное все:)
P.S. Из массы разнообразных домашних компьютеров попались два экземпляра:

Windows XP — вообще ни как штатными средствами не удалось настроить VPN

Windows 7 (32) — при попытке соединения выдавал различные ошибки

Пришлось на этих двух машинах установить VPN клиент от SoftEther.

После его настройке можно автоматизировать запуск с помощью его CLI:

• vpncmd localhost /client /cmd AccountConnect Имя_соединения
• vpncmd localhost /client /cmd AccountDisconnect Имя_соединения