ለመላው በይነመረብ የሚመልስ የ RDP ፖርት ሰርቨሩ ከተነሳ ከጥቂት ደቂቃዎች በኋላ የይለፍ ቃል ግምቶችን መቀበል ይጀምራል። ረጅም የይለፍ ቃል ይቋቋማል፤ ግን እያንዳንዱ ግምት አሁንም የመግቢያ ሙከራ ነው፣ የክስተት ምዝግብ ማስታወሻውን ይሞላል፣ ለቀጣዩ የ RDP ድክመት የጥቃት ዕድል ይሰጣል። አምስት እርምጃዎች ይህን ያስተካክላሉ። እያንዳንዱ የ PowerShell ትዕዛዝ ነው፤ ሁሉንም ከማተማችን በፊት በእኛ Windows Server 2022 ምስል ላይ አስሄደናል።
በ RDP PowerShell እንደ አስተዳዳሪ ይክፈቱ (እንዴት እንደሚገናኙ) እና በቅደም ተከተል ይቀጥሉ። እርምጃ 4ን በመጨረሻ ያድርጉ፦ እርስዎን ውጭ ሊያስቀር የሚችለው እሱ ብቻ ነው።
1. ረጅም እና ልዩ የይለፍ ቃል
አሁንም የመጀመሪያውን የመግቢያ የይለፍ ቃል የሚጠቀሙ ከሆነ በዳሽቦርዱ ውስጥ በረጅም የይለፍ ቃል ይቀይሩት (20+ ቁምፊዎች፣ ከይለፍ ቃል አስተዳዳሪ)። ከታች ያሉት ሁሉም እርምጃዎች የይለፍ ቃሉ ራሱ ሊገመት እንደማይችል ያስባሉ።
2. በአውታረ መረብ ደረጃ ማረጋገጫን (NLA) ያብሩ
በ NLA፣ Windows ክፍለ-ጊዜ ከመፍጠሩ እና የመግቢያ ማያ ገጽ ከመሳሉ በፊት ምስክርነቶችዎን ያረጋግጣል። ያልተረጋገጡ ግንኙነቶች የዴስክቶፕ ኮድ ላይ በጭራሽ አይደርሱም፤ በጣም የታወቁት የ RDP ድክመቶች ደግሞ እዚያው ነበሩ። የአሁኑን ሁኔታ ያረጋግጡ፦
(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired
1 ማለት NLA በርቷል ማለት ነው። 0 ካዩ ያብሩት፦
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
የአሁኑ የ Windows፣ macOS እና Linux (xfreerdp) የ Remote Desktop ደንበኞች NLAን ይደግፋሉ። የሚቀጥለው ግንኙነት የርቀት ማያ ገጹ ከመታየቱ በፊት የይለፍ ቃል ይጠይቃል።
3. ካልተሳኩ ሙከራዎች በኋላ መለያዎችን ይቆልፉ
ነባሪው የ Windows Server 2022 ጭነት ምንም ያህል የተሳሳቱ የይለፍ ቃሎች ቢመጡ ምንም መለያ አይቆልፍም። ከኦክቶበር 24 ቀን 2026 ጀምሮ ከእኛ ምስል በተጫኑ ሰርቨሮች ላይ ከታች ያለው ገደብ አስቀድሞ ተቀምጧል፤ በቀደሙት ሰርቨሮች ላይ እርስዎ ያስቀምጡት፦
net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts
በ 15 ደቂቃ ውስጥ አምስት የተሳሳቱ የይለፍ ቃሎች መለያውን ለ 15 ደቂቃ ይቆልፉታል። ሞክረነዋል፦ ከአምስት ያልተሳኩ ሙከራዎች በኋላ መደበኛ ተጠቃሚም አብሮ የተሠራው Administratorም ተቆልፈዋል። መቆለፊያው በራሱ ይነሳል፤ ስለዚህ በፊደል ስህተቶች የተሞላ ጠዋት የሚያስከፍልዎ ሩብ ሰዓት እንጂ ሰርቨሩን አይደለም።
4. RDPን ከራስዎ IP አድራሻ ብቻ ይፍቀዱ
ይህ እርምጃ ጫጫታውን ከሞላ ጎደል ያስወግዳል። የ Windows ፋየርዎል ደንቦች የርቀት አድራሻዎች ዝርዝር ይቀበላሉ፤ የራስዎን ያስገቡ። የአሁኑን የሕዝብ IPዎን በማንኛውም "የእኔ IP ምንድነው" ገጽ ይዩ፤ ከዚያ፦
$myIp = '203.0.113.10' # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp
ይህ ትዕዛዝ አብሮ የተሠራውን "Remote Desktop" ቡድን ብቻ ሳይሆን በፖርት 3389 ላይ ያሉትን ሁሉንም የገቢ ደንቦች ያገኛል። ይህ አስፈላጊ ነው፦ ከኦክቶበር 24 ቀን 2026 በፊት ከእኛ ምስል የተጫኑ ሰርቨሮች ፖርቱን ለሁሉም የሚከፍት "EQVPS RDP 3389" የሚባል ተጨማሪ ደንብ አላቸው፤ ሌሎች ሶፍትዌሮችም የራሳቸውን ደንቦች ማከል ይችላሉ። አብሮ የተሠራውን ቡድን ብቻ ከገደቡ፣ እንዲህ ያለ ደንብ ፖርቱን ክፍት ያደርገዋል። በሙከራ ወቅት እኛ ራሳችን ይህንኑ ስህተት ሠርተናል። ውጤቱን ያረጋግጡ፦
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}
እያንዳንዱ መስመር አድራሻዎን ማሳየት አለበት። በእኛ ሙከራ ከሌላ ማንኛውም አድራሻ የመጣ ግንኙነት ምላሽ አላገኘም፤ የተፈቀደው ግን ገብቷል።
በ NAT እቅድ ላይ በተመሳሳይ ይሠራል። ከግል ፖርትዎ የሚደረገው ማስተላለፍ እውነተኛ አድራሻዎን ይጠብቃል፤ ስለዚህ የራስዎን የሕዝብ IP ይፍቀዱ።
IPዎ ቢቀየር RDP ለእርስዎም መመለሱን ያቆማል። ከዳሽቦርዱ የአሳሽ ኮንሶሉን ይክፈቱ (በ RDP ወይም በፋየርዎል አያልፍም)፣ ይግቡ እና ትዕዛዙን በአዲሱ አድራሻ ያስሂዱ። ዝርዝሩን ሙሉ በሙሉ ለማስወገድ -RemoteAddress Any ይጠቀሙ።
5. ማን ለመግባት እየሞከረ እንደሆነ ይመልከቱ
ያልተሳኩ መግቢያዎች በ Security ምዝግብ ውስጥ ክስተት 4625 ናቸው። ይህ ትዕዛዝ የእያንዳንዱን ሙከራ የመለያ ስም እና አድራሻ ያሳያል፦
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}
ከተፈቀደው ዝርዝር በፊት ካልታወቁ አድራሻዎች የማያቋርጥ የ Administrator፣ admin፣ user ፍሰት ይጠብቁ። ከዚያ በኋላ ዝርዝሩ ጸጥ ማለት አለበት።
ጊዜ ማባከን የማይገባቸው
- የ RDP ፖርት መቀየር። የራሱ IPv4 ባለው እቅድ ላይ የምዝግብ ጫጫታን ብቻ ይቀንሳል፤ ስካነሮች አዲሱን ፖርት ቶሎ ያገኛሉ። በ NAT እቅድ ላይ መዳረሻዎን ይሰብራል፤ ምክንያቱም ማስተላለፉ ወደ 3389 ይሄዳል።
- "እንዲሠራ" ፋየርዎሉን ማጥፋት። ደንብ ከቀየሩ በኋላ RDP መመለሱን ካቆመ ደንቡን ከአሳሽ ኮንሶሉ ያስተካክሉ።
እንደተዘመነ ይቆይ
በጣም ከባድ የ RDP ክስተቶች የመጡት ከፕሮቶኮል ድክመቶች እንጂ ከይለፍ ቃሎች አይደለም። Windows Server 2022 እስከ ኦክቶበር 14 ቀን 2031 የደህንነት ዝማኔዎችን ያገኛል፤ ስለዚህ Windows Update እንደበራ ይተዉት እና ሲጠይቅ እንደገና ያስጀምሩ።
ምስሉ በራስዎ ፈቃድ የሚሠራ Windows Server 2022 ነው (BYOL እንዴት እንደሚሠራ)። እቅዶች የሚጀምሩት ከ Windows-Small ነው፦ 4 vCPU፣ 4 GB ማህደረ ትውስታ፣ 50 GB፣ ከ NAT ጋር በወር $11። የራሱ IPv4 ያለው Windows Small-IP በወር $28 ነው። አራቱም እቅዶች በ Windows VPS ገጽ ላይ አሉ። ከ RDP ጎን SSH ለመጠቀም በ Windows Server ላይ OpenSSHን ይመልከቱ።
አስተያየቶች
እስካሁን አስተያየቶች የሉም። መጀመሪያ ይሁኑ።