В этом документе перечислены требования Удаленного рабочего стола Chrome к сети, а также содержатся базовые сведения о протоколе удаленного рабочего стола и согласовании однорангового подключения (P2P).
Используйте это руководство, если у вашей частной сети строгие требования или вы испытываете трудности при работе в ней Удаленного рабочего стола Chrome.
Обязательные порты и протоколы
Правила одобрения URL для Удаленного рабочего стола Chrome
Чтобы получить доступ к Удаленному рабочему столу Chrome, у пользователей должна быть возможность перейти по специальным URL, перечисленным ниже. В вашей сети должно быть разрешено исходящее подключение к этим URL.
В консоли администратора Google на страницах Пользователи и браузеры и Управляемые гостевые сеансы вы можете настроить параметр Блокировка URL. Подробнее о том, как блокировать и разрешать URL в настройках правил Chrome для пользователей или браузеров…
Рекомендуем также ознакомиться с информацией о правилах URLAllowlist и URLBlocklist.
|
URL |
Действие |
|---|---|
|
instantmessaging-pa.googleapis.com |
Разрешить |
|
remotedesktop.google.com |
Разрешить |
|
remotedesktop-pa.googleapis.com |
Разрешить |
Общие правила брандмауэра для Удаленного рабочего стола Chrome в частных сетях
Диапазоны IP-адресов сервисов Google можно найти в документации Google Cloud.
В зависимости от местоположения IP-адреса могут быть динамическими. Даже если устройство настроено на подключение только через конкретный IP-адрес, порт или протокол, из-за динамического характера назначения IP-адресов правила брандмауэра будут основаны на технологии защиты с использованием подвижных целей (Moving Target Defense). Чтобы выполнять динамический поиск локализованных IP-адресов для различных сервисов, Google использует сервис www.gstatic.com.
Скрипт не возвращает один основной IP-адрес Удаленного рабочего стола Chrome, потому что у него нет URL в DNS: 74.125.247.128. Этот IP-адрес используется для установления соединений TURN/STUN при соблюдении всех следующих условий:
- для параметра Обход брандмауэра задано значение Включить обход брандмауэра;
- установлено значение Разрешить использование серверов ретрансляции.
Подробнее об обходе брандмауэра в настройках правил Chrome для пользователей или браузеров… Рекомендуем также ознакомиться с информацией о правилах RemoteAccessHostAllowRelayedConnection и RemoteAccessHostFirewallTraversal.
|
Источник |
Назначение |
Порт |
Протокол |
Действие |
|---|---|---|---|---|
|
Диапазон IP-адресов частной сети |
Диапазоны IP-адресов сервисов Google |
443 + 3478 |
TCP + UDP |
Разрешить |
|
Диапазон IP-адресов частной сети |
Диапазон IP-адресов частной сети |
Динамический диапазон, есть возможность ограничить с помощью параметра Диапазон портов UDP. Информацию о параметре Диапазон портов UDP можно найти в статье Как настроить правила Chrome для пользователей или браузеров. Рекомендуем также ознакомиться с информацией о правиле RemoteAccessHostUdpPortRange. |
TCP + UDP |
Разрешить |
|
Диапазон IP-адресов частной сети |
74.125.247.128 |
Динамический диапазон, есть возможность ограничить. Информацию о параметре Диапазон портов UDP можно найти в статье Как настроить правила Chrome для пользователей или браузеров. Рекомендуем также ознакомиться с информацией о правиле RemoteAccessHostUdpPortRange. |
TCP + UDP |
Разрешить |
Сведения о протоколе
Типы подключения Удаленного рабочего стола Chrome настраиваются с помощью корпоративного правила. Соединения между клиентом Удаленного рабочего стола Chrome и хостом изначально являются согласованными веб-запросами к сервисам Google. Когда соединение установлено, P2P-подключение запускает сеанс в реальном времени.
Типы P2P-подключения
P2P-подключения устанавливаются с помощью протоколов ICE и WebRTC. Возможные режимы подключения: прямое, STUN и TURN.
- Прямое:
- Два устройства подключаются напрямую по своим фактическим IP-адресам.
- STUN: в консоли администратора для параметра Обход брандмауэра установлено значение Включить обход брандмауэра.
- Два устройства подключаются по IP-адресам в интернете и подсети, указанным их маршрутизаторами или брандмауэрами.
- Для включения этого режима необходимо открыть порт 3478 и разрешить пакеты STUN.
- TURN: в консоли администратора выбран параметр Разрешить использование серверов ретрансляции.
- Пакеты отправляются в сервис Google и ретранслируются через центры обработки данных Google в другую точку подключения.
- Для включения этого режима также необходимо открыть порт 3478 для трафика через UDP или TCP (либо через оба протокола). Обратите внимание, что UDP предпочтительнее TCP из-за большей эффективности. В случае блокировки UDP Удаленный рабочий стол Chrome переключится на TCP.
Рабочий процесс в консоли администратора
Сеанс Удаленного рабочего стола Chrome создается в консоли администратора следующим образом:
- Администратор выбирает, к какому компьютеру нужно подключиться с помощью Удаленного рабочего стола Chrome.
- Клиентский компьютер отправляет через консоль администратора запрос в облачный API на запуск сеанса с выбранным устройством.
- Сервис Google Cloud отправляет команды управляемому хост-устройству с ChromeOS.
- С помощью токена доступа OAuth сервис RemoteCommand на этом устройстве регистрирует новый экземпляр хоста с Удаленным рабочим столом Chrome.
- Этот экземпляр хоста возвращает код доступа – комбинацию идентификатора хоста и секретного кода.
- Сервис RemoteCommand отправляет код доступа от хоста в консоль администратора.
- Google Cloud возвращает клиенту информацию о подключении.
- В клиентской консоли администратора открывается сайт Удаленного рабочего стола Chrome с кодом доступа в виде параметра URL.
- Подключение проходит через этапы настройки P2P в одном из трех режимов (прямое/STUN/TURN) в зависимости от настроек правила.
- Экран транслируется по протоколу UDP или TCP через динамически назначаемый порт, а диапазон портов настраивается с помощью корпоративного правила.
Схема подключения
Примечание. Это упрощенная иллюстрация процесса. В действительности детали подключения более сложные.
Список правил Chrome Enterprise
Правила для Удаленного рабочего стола Chrome можно найти в списке правил Chrome Enterprise. Для этого введите remote в окне поиска правил. Найденные правила будут перечислены в разделе Remote access (Удаленный доступ).