怕刺 - easytier
type: channel
link: https://pa.ci/tag/easytier/
items: 使用easytier开启Windows远程桌面的高安全方案
items: EasyTier教程：完美替代ZeroTier和Tailscale组建内网

使用easytier开启Windows远程桌面的高安全方案
type: item
date: 2026-07-31T02:19:51+00:00
description: Windows直接开启远程桌面，即使使用复杂密码也会遇到撞库或者0day漏洞等问题。常用的安全方案是组件内网并只允许指定的IP访问特定的网卡，这样即使出现了意外情况也不会被碰撞到远程桌面。以最常用的easytier组件内网为例：在需要开启远程桌面的电脑（被控电脑）上安装easytier并配置固定IP地址而不是自动的DHCP，比如给定IP地址10.144.144.20在管理电脑上安装easytier并配置固定IP地址而不是自动的DHCP，比如给定IP地址10.144.144.11修改默认的RDP端口3389改成其他端口，比如53389指定RDP只监听easytier的网卡进入的连接，并且只允许10.144.144.11连接一、安全模型预设如下：被控电脑 EasyTier IP：10.144.144.20 管理电脑 EasyTier IP：10.144.144.11 RDP 端口：53389 EasyTier 网段：10.144.144.0/24防火墙规则：来源地址：10.144.144.11/32 目标地址：10.144.144.20 入站接口：EasyTier 虚拟网卡 目标服务：Remote Desktop Services 目标端口：TCP/UDP 53389这样，即使 EasyTier 网络中还有其他设备，它们也不能访问这台电脑的远程桌面。只有确实需要所有 EasyTier 节点都能连接时，才放宽为：10.144.144.0/24二、先加固 EasyTier1. 使用固定虚拟 IPRDP 被控电脑和管理电脑都应使用固定 EasyTier IP，不建议对它们使用可能变化的 DHCP 地址。EasyTier 文档说明，DHCP 模式遇到地址冲突时可能自动更换地址；如果地址变化，绑定了本地 IP 的防火墙规则将不再匹配。例如被控电脑固定为：10.144.144.20管理电脑固定为：10.144.144.112. 使用强网络密钥和 Secure ModeEasyTier 至少应配置：--network-name --network-secret --secure-modenetwork_secret 用于验证节点是否属于该虚拟网络；Secure Mode 使用新的安全握手和认证路径。如果使用公共共享节点或第三方中继，仅开启 Secure Mode 还不够。应固定共享节点私钥，并在客户端配置 peer_public_key，否则连接虽然加密，但未必验证了中继节点的真实身份。3. 启用 EasyTier ACL支持 ACL 的版本中，建议把管理电脑放入类似 admin 或 management 组，只允许该组访问被控电脑的 TCP 53389。EasyTier 支持使用 ACL 限制节点间访问，也提供 --tcp-whitelist 53389 生成简单端口白名单的方式；但从安全角度，最好进一步结合节点组或身份限制来源，而不是只限制端口。除非确实需要，不要在 RDP 被控电脑上启用：proxy-networks 子网代理 公共中继 无关的监听端口三、Windows 11 安全配置脚本在被控电脑本地，以管理员身份打开 PowerShell。首先把下面的：'10.144.144.11/32'修改为实际管理电脑的 EasyTier IP。# ===================================================== # Windows 11 RDP over EasyTier 安全配置 # ===================================================== $RdpPort = 53389 # 推荐填写允许管理本机的具体 EasyTier 节点地址 $AllowedSources = @( '10.144.144.11/32' # 多台管理电脑可以继续添加： # '10.144.144.12/32' ) $TerminalServerPath = 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' $RdpTcpPath = 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' $TcpRuleName = 'RDP-EasyTier-Secure-TCP' $UdpRuleName = 'RDP-EasyTier-Secure-UDP' # ----------------------------------------------------- # 1. 自动查找本机 10.144.144.x EasyT…

EasyTier教程：完美替代ZeroTier和Tailscale组建内网
type: item
date: 2025-04-09T05:19:00+00:00
description: 最开始使用frp进行组网，但是存在多平台的服务持久化、加密认证等一系列不便之处。后来使用ZeroTier，虽然本身设计不错，但无法控制根节点，自建也仅限于moon节点，打洞和UDP很慢。于是，最后采用了EasyTier，不仅能平替ZeroTier，还能完全控制自建节点。以下教程使用Debian 12作为服务端，Windows作为客户端。搭建Linux服务端下载程序在EasyTier GitHub发布页下载对应版本，当前（2025年4月9日）是easytier-linux-x86_64-v2.2.4.zip，随后解压并命名，具体操作如下，需要root权限：cd /opt/ # 进入 /opt目录 wget https://github.com/EasyTier/EasyTier/releases/download/v2.2.4/easytier-linux-x86_64-v2.2.4.zip # 下载软件，注意更新版本 unzip easytier-linux-x86_64-v2.2.4.zip # 解压 mv easytier-linux-x86_64 easytier # 重命名文件夹创建systemd文件创建/etc/systemd/system/easytier.service文件，在里面写入以下内容。注意以下几个关键点：10.144.144.1 是虚拟的IP地址，每个设备分配一个，只要不冲突就可以EasyTierNode 是网络名称，随意即可Password@EasyTierNode 是密码，建议使用复杂度高的，避免被他人滥用完整的systemd文件内容如下：[Unit] Description=EasyTier Service After=network.target syslog.target Wants=network.target [Service] Type=simple ExecStart=/opt/easytier/easytier-core --ipv4 10.144.144.1 --network-name EasyTierNode --network-secret Password@EasyTierNode [Install] WantedBy=multi-user.target启动和使用命令如下：systemctl daemon-reload # 重新加载systemd文件，只有改动之后才需要知性 systemctl enable easytier.service # 设置EasyTier开机自启 systemctl start easytier.service # 立刻启动EasyTier systemctl stop easytier.service # 关闭EasyTier systemctl restart easytier.service # 重启EasyTier systemctl status easytier.service # 查看EasyTier状态此外，可以使用以下命令查看信息：/opt/easytier/easytier-cli peer查看虚拟网中的节点信息/opt/easytier/easytier-cli route查看虚拟网路由信息/opt/easytier/easytier-cli node查看当前节点的信息Linux客户端除了systemd文件以外，所有内容和搭建Linux服务端一致。注意以下几个关键点：10.144.144.2 是新设备的IP地址，不能与其他设备冲突EasyTierNode 是网络名称，必须与服务端一致Password@EasyTierNode 是密码，必须与服务端一致--peers tcp://1.2.3.4:11010中的1.2.3.4是服务端的真实IP地址，不是设置的10.144.144.1完整的systemd文件内容如下：[Unit] Description=EasyTier Service After=network.target syslog.target Wants=network.target [Service] Type=simple ExecStart=/opt/easytier/easytier-core --ipv4 10.144.144.2 --network-name EasyTierNode --network-secret Password@EasyTierNode --peers tcp://1.2.3.4:11010 [Install] WantedBy=multi-user.targetWindows客户端推荐使用安装为Windows服务的方式启用easy tier，不然存在开启后需要手动确认才能启用的bu…