Avant de commencer
- Les notions de base du réseau : adresse IP, port, pare-feu (voir adresse IP, masque et passerelle)
En clair
Prendre la main à distance, c'est faire voyager l'écran d'un ordinateur jusqu'à vous, et vos clics et votre clavier jusqu'à lui. Plusieurs « langues » existent pour cela : RDP est celle de Windows, VNC une langue universelle mais plus rudimentaire, SSH la langue des serveurs Linux, en ligne de commande. Les logiciels comme MobaXterm ou Remmina sont des interprètes qui parlent toutes ces langues dans une seule fenêtre. La règle de sécurité tient en une phrase : on ne laisse jamais ces portes ouvertes directement sur Internet.
1. Les protocoles
| Protocole | Port par défaut | Ce qu'il transmet | Systèmes | Chiffrement | Usage typique |
|---|---|---|---|---|---|
| RDP (Remote Desktop Protocol) | TCP et UDP 3389 | Une session : bureau, son, imprimantes, presse-papiers, lecteurs | Serveur : Windows Pro, Entreprise, Server (pas Windows Famille) ; clients sur tous les systèmes | Oui (TLS) | Administrer des serveurs Windows, travailler sur un PC à distance, bureaux virtuels |
| VNC (protocole RFB) | TCP 5900 (+ n° d'écran) | Une copie de l'écran existant, pixel par pixel | Tous | Selon l'implémentation : souvent non | Prendre la main sur l'écran affiché, console de VM, matériel varié |
| SSH | TCP 22 | Un terminal en ligne de commande, des fichiers (SFTP), des tunnels | Linux, macOS, Windows (OpenSSH intégré), équipements réseau | Oui | Administrer des serveurs Linux, des switchs, des routeurs |
| SPICE | Variable (via l'hyperviseur) | L'écran d'une VM, avec son, USB, presse-papiers | Hyperviseurs KVM (Proxmox VE, virt-manager) | Oui (TLS possible) | Console confortable de VM |
| NX (NoMachine) | TCP 4000 | Une session ou l'écran, très compressé | Tous | Oui | Bureau Linux distant fluide |
| X11 déporté | Via SSH | Une fenêtre d'application Linux affichée sur votre poste | Linux ; Windows avec un serveur X (MobaXterm) | Oui via SSH | Lancer une application graphique d'un serveur Linux |
RDP et VNC : la différence qui compte
| RDP | VNC | |
|---|---|---|
| Principe | Ouvre une session propre à l'utilisateur ; l'écran physique du PC se verrouille | Montre le même écran que celui affiché devant l'ordinateur |
| Fluidité | Très bonne : le protocole transmet des instructions de dessin, pas seulement des images | Moyenne : envoie les zones de l'écran qui changent |
| Fonctions | Son, impression, lecteurs, presse-papiers, plusieurs écrans | Clavier, souris, écran ; le reste dépend de l'implémentation |
| Plusieurs utilisateurs à la fois | Oui sur Windows Server (services Bureau à distance), un seul sur Windows 11 | Plusieurs personnes voient le même écran |
| Idéal pour | Administration et travail sur Windows | Assistance (montrer à l'utilisateur ce qu'on fait), consoles, systèmes variés |
VNC n'est souvent pas chiffré
Le protocole VNC d'origine envoie l'image en clair et limite le mot de passe à 8 caractères. Les versions récentes (TigerVNC avec TLS, RealVNC) chiffrent, mais pas toutes. Faites passer VNC dans un tunnel SSH ou un VPN, jamais en direct sur le réseau.
2. RDP en pratique
Activer le Bureau à distance sur un PC ou un serveur Windows
Paramètres > Système > Bureau à distance, puis activez-le en gardant Exiger que les appareils utilisent l'authentification au niveau du réseau (NLA). Seuls les membres du groupe Administrateurs et les comptes ajoutés dans Utilisateurs du Bureau à distance peuvent se connecter. Sur Windows Server, voir aussi Windows Server 2025, premiers réglages.
Les clients
| Système | Client | Remarque |
|---|---|---|
| Windows | Connexion Bureau à distance (mstsc) |
Intégré ; le client de référence pour se connecter à un PC ou un serveur |
| Windows, macOS, iOS, Android | Windows App | L'application de Microsoft qui remplace l'ancien client « Bureau à distance » ; sous Windows, elle sert surtout à Azure Virtual Desktop et Windows 365 |
| Linux | Remmina, FreeRDP (xfreerdp) |
Libres |
| Navigateur | Client web RDS, ou Apache Guacamole | Sans rien installer sur le poste |
Ouvrir une connexion depuis la ligne de commande Windows :
mstsc /v:srv-fic01.home.arpa
Options utiles : /admin (session d'administration), /f (plein écran), /multimon (plusieurs écrans).
RDP au travers d'Internet : la passerelle
Pour se connecter de l'extérieur, la méthode Microsoft est la passerelle des services Bureau à distance (RD Gateway) : le client parle à la passerelle en HTTPS (port 443), avec authentification et, idéalement, double authentification ; la passerelle relaie vers les serveurs internes. Autre solution courante : un VPN (WireGuard, OpenVPN, IPsec), puis RDP à l'intérieur du réseau.
Jamais le port 3389 ouvert sur Internet
Les ports RDP exposés sont balayés en permanence par des robots qui essaient des milliers de mots de passe. C'est l'une des premières portes d'entrée des rançongiciels en entreprise. Changer le numéro de port ne protège pas : il est retrouvé en quelques minutes. Passez toujours par un VPN ou une passerelle avec double authentification.
3. VNC en pratique
| Logiciel | Licence | Systèmes | Particularité |
|---|---|---|---|
| TigerVNC | Libre | Windows, macOS, Linux | Performant, chiffrement TLS, serveur pour sessions Linux |
| TightVNC | Libre | Windows (serveur), Java (visionneuse) | Simple, très répandu |
| UltraVNC | Libre | Windows | Transfert de fichiers, plugins de chiffrement |
| RealVNC Connect | Propriétaire | Tous | Chiffré, accès à distance par le cloud |
| Partage d'écran macOS | Intégré | macOS | Serveur VNC intégré (Réglages > Général > Partage) |
| noVNC | Libre | Navigateur | Client VNC en HTML5 ; c'est la console des VM dans Proxmox VE |
Sécuriser VNC par un tunnel SSH, depuis votre poste :
ssh -L 5901:localhost:5900 spo@192.168.1.30
Connectez ensuite votre visionneuse VNC à localhost:5901 : le flux passe chiffré dans SSH. Configurez le serveur VNC pour n'écouter que sur localhost.
4. SSH
SSH est détaillé dans sécuriser SSH. Pour se connecter :
ssh spo@192.168.1.30
Le client OpenSSH est intégré à Windows 10 et 11, macOS et Linux : pas besoin d'outil supplémentaire pour une connexion simple. Les gestionnaires de connexions ci-dessous deviennent utiles quand on jongle avec des dizaines de serveurs.
5. Les gestionnaires de connexions
Ils regroupent dans une seule fenêtre, avec des onglets, toutes vos connexions RDP, VNC, SSH, SFTP, Telnet ou série, avec leurs paramètres enregistrés.
| Logiciel | Systèmes | Licence | Protocoles | Points forts |
|---|---|---|---|---|
| MobaXterm | Windows | Propriétaire ; édition Home gratuite (nombre de sessions et de tunnels limité), édition Professionnelle | SSH, RDP, VNC, Telnet, SFTP, FTP, série, X11 | Tout-en-un : serveur X11 intégré, navigateur SFTP automatique à côté du terminal, outils réseau ; existe en version portable |
| mRemoteNG | Windows | Libre | RDP, VNC, SSH, Telnet, HTTP, ICA | Gestion de nombreuses connexions en arborescence |
| Remmina | Linux | Libre | RDP, VNC, SSH, SPICE, X2Go | Le client de référence sous Linux |
| Royal TS / Royal TSX | Windows, macOS | Propriétaire, version gratuite limitée | RDP, VNC, SSH, Web, nombreux autres | Documents partageables en équipe, multiplateforme |
| Remote Desktop Manager (Devolutions) | Windows, macOS, Linux, mobiles | Propriétaire, édition gratuite | Très nombreux | Coffre d'identifiants intégré, gestion d'équipe |
| PuTTY / KiTTY | Windows (PuTTY aussi Linux) | Libre | SSH, Telnet, série | Léger, indispensable pour les ports série des équipements réseau |
| Windows Terminal + OpenSSH | Windows | Libre | SSH | Moderne, onglets, sans rien installer de plus |
| Termius | Tous, mobiles | Propriétaire, version gratuite | SSH, SFTP | Synchronisation des hôtes entre appareils |
Les mots de passe enregistrés
Ces outils proposent d'enregistrer les mots de passe. Protégez leur fichier de configuration par un mot de passe maître, et préférez les clés SSH et un gestionnaire de mots de passe à des mots de passe en clair dans un fichier de connexions partagé.
6. L'assistance à distance
Pour aider un utilisateur, il faut voir son écran, avec son accord, souvent à travers Internet et sans configurer de redirection de ports.
| Outil | Licence | Particularité |
|---|---|---|
| Assistance rapide (Quick Assist) | Intégrée à Windows 10 et 11 | Partage d'écran avec un code à usage unique ; l'aidant se connecte avec un compte Microsoft |
| RustDesk | Libre | Auto-hébergeable : votre propre serveur relais, aucun intermédiaire |
| TeamViewer | Propriétaire, gratuit pour usage privé | Très répandu, multiplateforme |
| AnyDesk | Propriétaire, gratuit pour usage privé | Léger et rapide |
| Bureau à distance Chrome | Gratuit | Fonctionne avec un compte Google, depuis le navigateur |
Les escroqueries au faux support technique
Des escrocs appellent en se faisant passer pour Microsoft, une banque ou un opérateur, et demandent d'installer un outil de prise en main pour « réparer » l'ordinateur. Un vrai service ne vous appelle jamais pour prendre la main sur votre PC. Ne donnez un code d'accès qu'à une personne que vous avez vous-même contactée, et coupez la session dès que l'intervention est terminée.
7. Les passerelles web
Une passerelle web donne accès aux serveurs depuis un simple navigateur, sans client à installer et sans exposer RDP, VNC ou SSH :
| Solution | Licence | Particularité |
|---|---|---|
| Apache Guacamole | Libre | RDP, VNC, SSH, Telnet en HTML5 ; double authentification (TOTP), enregistrement des sessions ; s'installe facilement avec Docker |
| Client web RDS | Inclus avec les services Bureau à distance de Windows Server | Accès aux bureaux et applications publiés |
| Bastions d'administration (Teleport, Devolutions Gateway, solutions commerciales) | Variable | Traçabilité complète des accès administrateurs, pour les environnements exigeants |
Guacamole se place derrière un reverse proxy HTTPS, avec double authentification : seul le port 443 est exposé.
8. Les bonnes pratiques de sécurité
| Pratique | Pourquoi |
|---|---|
| Aucun port RDP, VNC ou SSH ouvert directement sur Internet | Ce sont les premières cibles des robots d'attaque |
| VPN ou passerelle (RD Gateway, Guacamole, bastion) pour l'accès externe | Un seul point d'entrée, protégé et surveillé |
| Double authentification sur le VPN ou la passerelle | Un mot de passe volé ne suffit plus |
| NLA activée pour RDP | L'utilisateur s'authentifie avant l'ouverture de la session ; bloque une partie des attaques |
| Comptes nominatifs, pas d'administrateur partagé | Savoir qui s'est connecté, et quand |
| Verrouillage de compte après plusieurs échecs | Freine les attaques par force brute |
| Clés SSH plutôt que mots de passe | Voir sécuriser SSH |
| Mises à jour des serveurs et des clients | Des failles graves ont touché RDP (BlueKeep en 2019) et les outils d'assistance |
| Journalisation des connexions | Repérer un accès anormal |
| Pare-feu : n'autoriser le 3389 ou le 22 que depuis le réseau d'administration | Réduire les sources possibles |
9. Lequel choisir ?
| Besoin | Le choix conseillé |
|---|---|
| Administrer des serveurs Windows | RDP (mstsc), via VPN ou passerelle |
| Administrer des serveurs Linux et des équipements réseau | SSH (Windows Terminal, PuTTY) |
| Gérer de nombreuses connexions de tous types sous Windows | MobaXterm ou mRemoteNG |
| Même besoin sous Linux | Remmina |
| Accéder à la console d'une VM | La console de l'hyperviseur (noVNC ou SPICE sous Proxmox) |
| Dépanner un utilisateur | Assistance rapide, ou RustDesk auto-hébergé |
| Donner accès à des serveurs depuis n'importe quel navigateur | Apache Guacamole derrière HTTPS et double authentification |
À retenir
- RDP pour Windows (session complète, fluide), VNC pour voir l'écran tel quel (souvent non chiffré), SSH pour Linux et le réseau.
- Sous Windows,
mstscreste le client RDP de référence ; MobaXterm et mRemoteNG regroupent tous les protocoles, Remmina sous Linux. - Pour l'assistance : Assistance rapide ou RustDesk auto-hébergé, et méfiance face aux faux supports techniques.
- Jamais de 3389, 5900 ou 22 exposé sur Internet : VPN ou passerelle avec double authentification.
- NLA, comptes nominatifs, clés SSH, mises à jour et journalisation.