Организация удаленного доступа к компьютерам в условиях закрытого контура безопасности является критически важной задачей для многих предприятий и государственных учреждений. Стандартная конфигурация AnyDesk по умолчанию стремится установить соединение с облачными серверами разработчика для проброса трафика и авторизации, что недопустимо в изолированных сегментах сети. Полное отключение внешнего канала связи требует глубокого понимания сетевой архитектуры и специфики работы программного обеспечения для удаленного администрирования.

Вам необходимо будет не просто ограничить доступ программы через брандмауэр, но и корректно настроить статические адреса, чтобы клиенты находили друг друга без участия центрального сервера Discovery. Локальная сеть (LAN) в таком сценарии становится единственным транспортным каналом, что повышает требования к правильности конфигурации TCP/IP стека. Игнорирование нюансов маршрутизации внутри подсети может привести к полной неработоспособности сервиса даже при физическом наличии связи между узлами.

Данное руководство детально описывает процесс трансформации стандартного клиента в полностью автономный инструмент, работающий в пределах периметра вашей организации. Мы рассмотрим методы принудительного переключения в режим прямой передачи данных, исключая любые попытки обращения к внешним DNS-серверам или IP-адресам, принадлежащим инфраструктуре AnyDesk GmbH.

Принципы работы AnyDesk в изолированной среде

Фундаментальное отличие работы в закрытом контуре заключается в отсутствии механизма NAT traversal, который обычно обеспечивается облаком. В стандартном режиме, когда оба клиента находятся за разными NAT, программа использует промежуточный сервер для установления рукопожатия. В условиях LAN-only вы обязаны обеспечить прямую видимость между хостами, что подразумевает отсутствие сложной трансляции адресов или наличие правильно настроенных правил проброса портов на границе сегмента.

Ключевым элементом становится механизм обнаружения устройств. Поскольку глобальный справочник ID недоступен, система должна опираться исключительно на широковещательные запросы в локальном домене или заранее известные статические IP-адреса. Протокол TCP на порту 7070 (по умолчанию) должен быть открыт для входящих соединений со всех доверенных узлов сети. Любая попытка программы отправить пакет за пределы выделенного диапазона адресов должна быть жестко блокируема на уровне сетевой карты или межсетевого экрана.

⚠️ Внимание: При полной изоляции от интернета функция автоматического обновления программы работать не будет. Вам необходимо заранее загрузить актуальные версии дистрибутива на изолированный сервер или передавать их через защищенные съемные носители, проверяя целостность файлов хэш-суммами.

Важно понимать, что идентификация устройств в таком режиме часто происходит не по уникальному ID (который требует проверки в облаке), а по IP-адресу. Это меняет парадигму безопасности: вместо привязки к аккаунту вы переходите к модели доверия, основанной на сетевом периметре. Безопасность теперь зависит от физической защиты кабелей и надежности коммутационного оборудования, так как любой, кто получит доступ в LAN, теоретически сможет попытаться инициировать подключение.

📊 Какой тип сети вы настраиваете?
  • Корпоративный сегмент
  • Государственная организация
  • Домашний сервер
  • Промышленный контроллер

Подготовка сетевой инфраструктуры и адресации

Первым шагом к успешной конфигурации является внедрение строгой статической адресации. Динамическое распределение адресов через DHCP допустимо только при наличии зарезервированных привязок (MAC-to-IP), иначе после смены адреса клиента связь с ним будет потеряна, и вам придется заново искать устройство в сети. Рекомендуется выделить отдельный VLAN или подсеть исключительно для оборудования, требующего удаленного доступа, чтобы минимизировать широковещательный шторм и повысить безопасность.

Для каждого узла, который будет выступать в роли сервера (принимать подключения), необходимо прописать статический IP-адрес, маску подсети и шлюз. Даже если шлюз по умолчанию не используется для выхода во внешний мир, его наличие в настройках сети операционной системы часто требуется для корректной работы стека протоколов. Убедитесь, что имена хостов (hostname) уникальны в пределах домена или рабочей группы, так как это упростит навигацию и логирование событий.

  • 📌 Выделите диапазон IP-адресов, зарезированный исключительно для инфраструктуры удаленного доступа.
  • 📌 Настройте DNS-сервер локальной сети для резолвинга имен хостов в IP-адреса, если не используется статический файл hosts.
  • 📌 Проверьте физическую связность всех узлов с помощью утилиты ping перед запуском программного обеспечения.
  • 📌 Убедитесь, что на сетевых коммутаторах не включены функции изоляции портов (Port Isolation), блокирующие трафик между клиентами.

Особое внимание следует уделить настройке брандмауэра Windows или аналогичного средства защиты в других ОС. Правила должны разрешать входящие соединения на порт прослушивания AnyDesk только с доверенных IP-адресов или подсетей. Создание правила, разрешающего подключение от любого адреса (0.0.0.0/0), в изолированной сети допустимо только если вы абсолютно уверены в физической безопасности периметра, однако принцип минимальных привилегий диктует необходимость ограничения по IP.

☑️ Проверка сетевой готовности

Выполнено: 0 / 5

Конфигурация файла settings_anydesk.ini для LAN

Наиболее критичным этапом является правка конфигурационного файла программы. AnyDesk хранит свои настройки в файле settings_anydesk.ini, расположение которого зависит от операционной системы и режима установки (portable или installed). Для внесения изменений файл должен быть отредактирован текстовым редактором с правами администратора, а сам сервис AnyDesk на момент редактирования должен быть полностью остановлен, иначе изменения будут перезаписаны при выгрузке.

В секции [general] или [network] (зависит от версии) необходимо явно указать параметры, запрещающие обращение к внешним серверам. Ключевым параметром является возможность указания собственного сервера Discovery или полного отключения облачных функций. В новых версиях используется параметр disable_cloud или аналогичные флаги, которые принудительно переводят клиент в режим прямой работы. Если такой параметр отсутствует в явном виде, используется метод блокировки на уровне хоста или прокси.

Ниже приведен пример конфигурации, который может потребоваться для ограничения функционала. Обратите внимание, что синтаксис может варьироваться в зависимости от версии AnyDesk, поэтому всегда сверяйтесь с официальной документацией для конкретной сборки, которую вы используете в закрытом контуре.

[general]

start_to_tray=1


check_update=0


lang=ru


[security]


accept_incoming_connections=1


lock_settings=1

⚠️ Внимание: Неправильное редактирование файла конфигурации может привести к невозможности запуска программы. Всегда создавайте резервную копию файла settings_anydesk.ini перед внесением любых изменений, чтобы иметь возможность быстро откатиться.

Также важно настроить параметры безопасности, такие как белый список разрешенных ID или IP-адресов, если функционал версии позволяет это сделать через конфиг. Это создаст дополнительный слой защиты: даже если злоумышленник проникнет в сеть, он не сможет подключиться к управляющему компьютеру без добавления своего адреса в список разрешенных. В некоторых корпоративных сборках доступна функция "Kiosk Mode", которая ограничивает действия пользователя на удаленной машине.

Расположение файлов конфигурации

В Windows файл обычно находится по пути C:\ProgramData\AnyDesk\settings_anydesk.ini или %APPDATA%\AnyDesk\settings_anydesk.ini. В Linux ищите в ~/.anydesk/ или /etc/anydesk/.

Установка и запуск в режиме без инсталляции

Для изолированных систем часто предпочтительнее использовать портативную версию (portable), так как она не вносит изменений в реестр операционной системы и не создает служб, которые могут конфликтовать с политиками безопасности предприятия. Запуск в таком режиме осуществляется простым исполнением файла AnyDesk.exe с соответствующими ключами командной строки. Это также упрощает процесс развертывания на множестве машин: достаточно скопировать папку с программой и конфигами на целевой хост.

Если же требуется постоянная фоновая работа с правами системы (для доступа к экрану блокировки или перезагрузки), необходимо выполнить установку сервиса. В условиях отсутствия интернета установщик не сможет скачать дополнительные компоненты, поэтому убедитесь, что все необходимые библиотеки (например, Visual C++ Redistributable) уже установлены в системе. Процесс установки следует запускать от имени администратора, используя ключи тихой установки для автоматизации.

Командная строка для запуска в режиме сервиса с конкретным конфигом может выглядеть следующим образом:

AnyDesk.exe --install --start-with-win --silent

После установки убедитесь, что служба AnyDesk запускается автоматически вместе с операционной системой. В диспетчере задач проверьте, что процесс не пытается установить сетевые соединения с внешними адресами, используя утилиты мониторинга трафика. Если вы видите попытки соединения с IP-адресами, не принадлежащими вашей локальной сети, значит, конфигурация блокировки облачных функций выполнена не полностью.

  • 🚀 Используйте ключ --silent для установки без участия пользователя и появления окон мастера.
  • 🚀 Для portable-версии создайте ярлык с прописанным путем к конфигурационному файлу, если их несколько.
  • 🚀 Проверьте права доступа к папке с программой: у обычного пользователя не должно быть прав на изменение исполняемых файлов.
💡

Используйте групповые политики (GPO) или скрипты развертывания для массовой копии исполняемого файла и настроенного settings_anydesk.ini на все компьютеры в домене одновременно.

Диагностика соединений и таблица портов

В условиях работы без интернета стандартные методы диагностики, такие как проверка статуса "Online" в главном окне, могут работать некорректно или показывать ложноотрицательные результаты. Основным инструментом проверки становится утилита командной строки ping и встроенные логи программы. Логирование следует включить в конфигурационном файле, чтобы отслеживать попытки входящих подключений и причины отказов в доступе.

Для успешной работы AnyDesk в локальной сети необходимо обеспечить доступность определенных портов. По умолчанию программа использует TCP порт 7070 для входящих подключений и динамический диапазон портов для передачи видеопотока. Если в вашей сети используются строгие правила фильтрации, вам потребуется открыть эти порты на межсетевых экранах между сегментами LAN.

Ниже представлена таблица основных сетевых параметров, которые необходимо контролировать:

Параметр Значение по умолчанию Направление Протокол
Порт прослушивания 7070 Входящий TCP
Порт видеопотока Динамический Двусторонний TCP/UDP
Поиск в LAN Широковещательный Исходящий/Входящий UDP
API интерфейс Закрыт Локальный TCP (localhost)

При возникновении проблем с подключением первым делом проверьте доступность порта 7070 с помощью утилиты telnet или Test-NetConnection в PowerShell. Если порт закрыт, проблема кроется в брандмауэре операционной системы или настройках сетевого оборудования. Также стоит проверить, не блокирует ли антивирусное ПО сетевую активность неизвестного (в его глазах) приложения.

💡

Успешная диагностика в изолированной сети возможна только при комплексной проверке: от физического кабеля до настроек брандмауэра и правильности IP-адресации.

Обеспечение безопасности и ограничение прав доступа

Безопасность в локальной сети без выхода в интернет строится на концепции "доверенной зоны", однако это не означает, что внутренними угрозами можно пренебречь. Настройте парольную защиту для каждого сеанса или используйте режим "White List", где разрешены подключения только с конкретных IP-адресов администраторов. Это предотвратит несанкционированный доступ в случае компрометации одного из узлов сети.

Рекомендуется отключить все不必要的 функции, такие как передача файлов, если они не требуются для работы, или чат, чтобы минимизировать поверхность атаки. В конфигурационном файле можно задать параметры, запрещающие изменение настроек безопасности без ввода мастер-пароля. Это защитит конфигурацию от случайного или злонамеренного изменения пользователем, сидящим за удаленным компьютером.

⚠️ Внимание: Использование одинаковых паролей на всех машинах в сети является критической уязвимостью. Применяйте уникальные сложные пароли для каждого узла или используйте централизованную систему управления доступом, если функционал версии позволяет.

Регулярно проводите аудит логов подключений. Анализируйте, кто, когда и с какого IP-адреса инициировал сеанс. В условиях закрытого контура любое необычное время активности или подключение с нестандартного адреса должно рассматриваться как инцидент безопасности. Мониторинг является последней линией обороны, позволяющей выявить breach до нанесения серьезного ущерба.

Как защитить конфигурационный файл?

Установите права доступа NTFS на файл settings_anydesk.ini, разрешив чтение и запись только учетной записи SYSTEM и администраторам, убрав права у обычных пользователей.

Часто задаваемые вопросы (FAQ)

Можно ли использовать AnyDesk в локальной сети без установки программы?

Да, для этого существует портативная версия (portable). Вы можете скопировать исполняемый файл на компьютер в изолированной сети и запустить его. Однако для получения полных прав доступа к системе и работы в фоновом режиме все же рекомендуется использовать режим установки сервиса, что можно сделать offline, имея установочный файл.

Почему не работает поиск устройств в локальной сети?

Чаще всего проблема кроется в блокировке UDP-широковещательных пакетов брандмауэром Windows или сетевым оборудованием. Убедитесь, что профиль сети установлен как "Частная" или "Доменная", а не "Общественная", и что порты для обнаружения открыты. Также устройства должны находиться в одной подсети.

Как обновить AnyDesk в закрытом контуре?

Автоматическое обновление в таких условиях невозможно. Вам необходимо скачать последнюю версию дистрибутива на компьютер с доступом в интернет, проверить его на вирусы и перенести на целевые машины через безопасный носитель. Перед обновлением обязательно сделайте бэкап конфигурационных файлов.

Безопасно ли оставлять AnyDesk запущенным постоянно?

При правильной настройке брандмауэра, использовании сложных паролей и ограничении доступа по IP-адресам (White List), риски минимальны. Однако рекомендуется использовать функцию "Только по разрешению" или выключать службу, когда удаленный доступ не требуется длительное время.

Можно ли передавать файлы через AnyDesk без интернета?

Да, функция передачи файлов работает напрямую между клиентами (P2P) и не требует облачного сервера, если установлено прямое соединение. Скорость передачи будет ограничена только пропускной способностью вашей локальной сети и дисковой подсистемой.