ポート開放（やVPN）なしのリモートデスクトップ

かつて、ポート開放は、外から自分のコンピューターにアクセスするための通行料でした。家庭の接続が増えるにつれ、ISPのルーターが固定されていたり、CGNATだったり、アドレスが夜の間に変わったりして、それは、もはや不可能なことさえあります。可能な場合でも、スキャナーへの常設の招待状になります。ここでは、現代のアプリが、開いたポートなしで接続する方法と、メッシュVPNや昔ながらのポート開放との比較を紹介します。

ポート開放が古いやり方である理由

20年間、自宅のコンピューターに接続する標準的なやり方は、こうでした。マシンに固定のローカルIPを割り当て、ルーターにログインして、外部のポートをそのマシンに転送し、クライアントを自分のグローバルアドレスに向ける。ルーターを自分で管理でき、ISPが本物のグローバルIPをくれて、悪意のある誰かが開いたポートに気づかない限り、動作しました。この3つの前提は、どれも時代とともに崩れています。

• ルーターの設定は、本当に面倒です。ポート開放の場所はメーカーごとに別のメニューに隠されており、ISPが提供するルーターでは、その設定を完全にロックしているものも増えています。ISPの機器の後ろに、自分のメッシュシステムを置いていれば、二重NATになります。転送は、両方のルーターで、正しい順序で設定する必要があり、ファームウェアの更新で、気づかないうちに元に戻ることもあります。
• CGNATと動的IPのせいで、多くの接続では、外からの接続が不可能です。キャリアグレードNATとは、ISPが1つのグローバルIPv4アドレスを多くの顧客で共有することで、モバイル回線、光回線の再販業者、IPv4アドレスが枯渇した後にインターネットへ参入したプロバイダーで一般的です。CGNATの内側では、ポート開放の設定は、外からの通信を決して受け取らないルーターに対して行われます。接続は上流の、管理者権限を持つことのない機器で破棄されます。CGNATでない回線でも、動的IPなら、月曜に設定したアドレスが、金曜には別の場所を指している可能性があります。
• セキュリティ上のリスクが、決定的な欠点です。公開されたRDPのポートは、インターネット上で最もスキャンされるものの一つです。ポート3389を世界に向けて開ければ、自動のスキャナーがすぐに見つけ、続けて、絶え間ないブルートフォースと認証情報の使い回し攻撃が来ます。公開されたRDPは、ランサムウェアのインシデント報告で、主要な初期侵入経路として一貫して挙げられています。これは理論上のリスクではなく、玄関が、24時間体制で試されているということです。

これは、リモートアクセスが選択肢から外れるという意味ではありません。外から入るポートというモデルが、外れるという意味です。接続は、内側から始める必要があります。

現代のアプリが、開いたポートなしで接続するしくみ

ルーターは、すでに外向きの接続と、それへの返信を許可しています。読み込むWebページのすべてが、あなたのところに戻ってくるのは、そのためです。現代のリモートデスクトップのアプリは、まさにその許可を使います。両端が外へダイヤルし、その間の通信は、それぞれのルーターがすでに承認した会話への返信として扱われます。鍵のかかった別々の部屋にいる2人が、同じ瞬間に、共有の廊下へ足を踏み出すようなものです。外から鍵を開ける必要は、誰にもありませんでした。

これを確実にするのは、3つの要素です。小さな公開サーバーが、各デバイスに、インターネットから見た自分のアドレスがどう見えるかを伝えます。次に、双方が同じ瞬間にお互いへ送信し、それぞれのルーターを通る直接の経路をホールパンチングで開きます。そして、ホールパンチングには厳しすぎるネットワークでは、セッションは暗号化された中継にフォールバックし、読めない通信を転送します。それでも、外から入るポートを開ける必要はありません。（Mac Host 3.3は、許可するルーターに、セッションのためにポートを開けるよう依頼することもできます。これはデフォルトで有効で、任意です。）これが全体の考え方です。対称型NAT、候補の優先順位、実際の遅延の数値といった、技術的な詳細は、NATトラバーサルの解説をご覧ください。

ルーターの設定は、一切変更されません。両方のデバイスが内側から会話を始め、ファイアウォールは、セッション全体を、すでに承認した返信として扱います。

選択肢1：P2Pのリモートデスクトップ（ルーターの設定ゼロ）

これはRemioが属するカテゴリーなので、私たちの熱意は割り引いて受け取ってください。ただ、この仕組みは、主要なビデオ通話アプリが何年も前から使っているものと同じで、「ホテルにいる」から「自分のデスクトップを見ている」までの、最短の道です。

• 外向きのみの接続。両方のデバイスが外へダイヤルするので、ポート開放が不可能な場所、つまりCGNAT、ホテルやキャンパスのネットワーク、モバイルのテザリングの内側でも動作します。
• 公開インターネットで待ち受けるものは、何もない。スキャナーが見つけるポートも、見知らぬ人に応答するサービスも、グローバルIPの上に置かれた攻撃対象領域もありません。
• 経路にかかわらず、エンドツーエンドで暗号化。Remioは、セッションのたびに、2台のデバイスの間で直接、暗号鍵をネゴシエートします。セッションが中継にフォールバックする場合も、中継が転送するのは暗号文で、フレーム、キー入力、ファイルは読めません。このモデルの詳細は、セキュリティのページにあります。
• 無料で使え、アカウントは不要。Remio Proの登場前に無料だったものは、すべてのプラットフォームで無料のままです。ペアリングは、ホストの画面に表示された6桁のコードで行い、メールアドレスも、パスワードのデータベースも、どこにもありません。

セットアップがすべてです。両方のマシンにRemioをインストールし、ホストに表示された6桁のコードをクライアントに入力すれば、接続できます。ルーターが会話に加わることはありません。P2Pのリモートデスクトップが渡すのは、ネットワークではなく、1台のコンピューターの画面です。メッシュVPNが加えるものは、次に説明します。

選択肢2：トンネルとメッシュVPN

Tailscaleのようなツール（そしてそれが土台にするWireGuardプロトコル）は、問題の別の側面を解決します。画面をストリーミングする代わりに、デバイス間にプライベートなネットワークを作ります。登録されたすべてのマシンに、固定のプライベートアドレスが割り当てられ、その上で動かすもの（RDP、VNC、SSH、ファイル共有）は、インターネットにさらされず、そのネットワークの内側にとどまります。内部では、上で説明したのと同じ、外向きのみのNATトラバーサルを行うため、ルーターの変更なしで、CGNATの内側でも動作します。

メッシュVPNがカバーするもの：

• 多数のマシンの、多数のサービス。デスクトップだけではなく、セルフホスティングやホームラボの用途です。
• ネットワークレベルのアクセス。ファイル共有のマウント、SSH、ホームオートメーションのダッシュボードへのアクセスなど、リモートデスクトップのアプリが提供しないものです。
• 既存のIDプロバイダーに結びついたアクセス制御。既存のログインの上で動くためです。

トレードオフも、同じくらい現実的です。すべてのデバイスにクライアントをインストールしてサインインする必要があり、通常はIDプロバイダー経由で、アクセスを共有する相手もそうなります。メッシュが与えるのはネットワークで、画面ではありません。その内側で、リモートデスクトップのプロトコルが依然として必要で、WindowsでRDPをホストするには、ProかEnterpriseのエディションが必要です。Homeはできません。そして、直接の経路を開けないときは、通信はプロバイダーの中継（TailscaleではDERP）を通り、遅延は中継の配置次第になります。ターミナルのセッションなら問題ありませんが、ウインドウをドラッグするときは気になります。画面とネットワークの違いをさらに詳しく知りたい方は、リモートデスクトップとVPNをご覧ください。

選択肢3：堅牢化したポート開放

ポート開放は愚かなものではなく、ただ、デフォルトとして間違っているだけです。インフラが固定されていて、自分のものである場合には、今も選択肢です。業務用の回線と固定IPのあるオフィスのマシン、コロケーションのサーバー、あるいは、すべてのスタックを自分で動かし、経路に第三者のインフラを一切置きたくないホームラボなどです。

この道を行くなら、きちんと行ってください。

• 3389（やVNCの5900）をそのまま公開しない。RDPに外から届く必要があるなら、そのポートを直接転送するのではなく、VPNやSSHトンネルの背後に置きます。
• デフォルトでない外部ポートを使う。サービスが安全になるわけではありませんが、背景のスキャナーによるノイズを大幅に減らせます。
• レート制限とロックアウト。失敗が続いたアドレスを遮断する、fail2banのようなツールは、ブルートフォースの奔流を、細い流れに変えます。
• パスワードだけのものより、鍵ベースの認証を優先する。鍵を使ったSSHの玄関、あるいは証明書認証です。パスワードが残る場合は、長く、固有のものにして、アカウントのロックアウトと組み合わせます。
• 接続元のアドレスを制限する。どこから接続するか予測できるなら、ファイアウォールで制限し、ホストにパッチを当て続けます。

自分でファイアウォールを管理していて、リモートデスクトップのセッションが使うポートとプロトコルを正確に知りたい方は、ファイアウォールとNATのドキュメントに詳しくまとめています。

判断の表

まとめです。「P2Pのリモートデスクトップ」はRemioと、同じ作りのアプリを指し、「メッシュVPN」はTailscaleのようなオーバーレイを指し、「ポート開放」は従来の外から入る設定を指します。

P2Pのリモートデスクトップは、最小の手間で画面を、メッシュVPNはネットワークを与えます。ポート開放は、上で述べたように堅牢化すれば、すべてを自分の手の中に保ちます。

よくある質問

リモートデスクトップは、CGNATの内側で動作しますか？

はい、適したツールなら。Remioのようなリモートデスクトップのアプリは、両端から外向きに接続して、直接の経路をホールパンチングで開き、これはキャリアグレードNATの内側でも動作します。直接の経路を開けないときは、暗号化された中継にフォールバックします。TailscaleのようなメッシュVPNも、同じ方法でCGNATを越えます。動作しないのは、ポート転送の背後にある、素の外から入るRDPやVNCです。接続が、あなたのルーターに届く前に、事業者のNATで破棄されるからです。

ポート3389を転送しても安全ですか？

広く、避けるよう勧められています。公開されたRDPは常にスキャンされ、ブルートフォース攻撃やランサムウェアの主要な侵入経路であり続けています。どうしても避けられないなら、設定を堅牢にしてください。サービスをデフォルトでないポートに移す、ロックアウトとレート制限つきの強力で固有のパスワードを必須にする、ネットワーク レベル認証を要求する、ファイアウォールで接続元のIPアドレスを制限する、そしてホストにパッチを当て続ける。P2PのアプリやメッシュVPNなら、その露出自体を避けられます。

リモートデスクトップに、固定IPは必要ですか？

いいえ。P2PのリモートデスクトップのアプリやメッシュVPNは、接続のたびに、デバイスの現在のアドレスを探し直すので、動的IPは問題になりません。固定IPが重要なのは、固定アドレスへの従来のポート開放だけです。それでも、ダイナミックDNSで代用できます。

Remioには、ルーターの設定が必要ですか？

一切不要です。両方のデバイスが外向きに接続し、RemioがNATトラバーサルを自動で処理します。直接の経路を確立できないときは、暗号化された中継がフォールバックになります。転送するポートも、DMZも、UPnPの要件も、作成するアカウントもありません。いつでも更新できる6桁のコードで、デバイスをペアリングします。

ホールパンチングが失敗したら、どうなりますか？

セッションは、暗号化された中継にフォールバックします。Remioはエンドツーエンドで暗号化し、鍵はセッションのたびにデバイス同士で直接ネゴシエートされるため、中継が運ぶのは暗号文だけです。画面、キー入力、ファイルは読めません。直接の経路より、遅延がわずかに大きくなることがありますが、セキュリティのモデルは変わりません。

まだ迷っていますか？ P2Pが自分の回線で動くかを確かめる最速の方法は、試してみることです。2台のデバイスにRemioをインストールして、6桁のコードでペアリングしてください。ネットワークがホールパンチングできるなら、1分足らずで、自分のデスクトップが見えます。できなければ、暗号化された中継が自動でセッションを引き継ぎます。どちらの場合も、ルーターは関与しません。この一文の裏にある仕組みは、しくみのページで紹介しています。