منفذ RDP الذي يجيب الإنترنت كله يبدأ بتلقي محاولات تخمين كلمة المرور بعد دقائق من تشغيل الخادم. كلمة المرور الطويلة ستصمد، لكن كل تخمين يبقى محاولة دخول، ويملأ سجل الأحداث، ويمنح ثغرة RDP التالية من تخاطبه. خمس خطوات تعالج ذلك. كل خطوة أمر PowerShell، وشغّلناها كلها على صورة Windows Server 2022 لدينا قبل النشر.
افتح PowerShell بصفة المسؤول عبر RDP (كيف تتصل) وامضِ بالترتيب. اترك الخطوة 4 للنهاية: فهي الوحيدة التي قد تغلق الباب عليك.
1. كلمة مرور طويلة وفريدة
إذا كنت لا تزال تستخدم كلمة مرور الدخول الأول، فغيّرها من لوحة التحكم إلى كلمة طويلة (20 حرفاً فأكثر، من مدير كلمات مرور). كل الخطوات أدناه تفترض أن كلمة المرور نفسها لا يمكن تخمينها.
2. فعّل المصادقة على مستوى الشبكة (NLA)
مع NLA يتحقق Windows من بيانات اعتمادك قبل إنشاء جلسة ورسم شاشة الدخول. الاتصالات غير المصادَق عليها لا تصل أبداً إلى شيفرة سطح المكتب، وهناك تحديداً كانت أشهر ثغرات RDP. تحقق من الحالة الحالية:
(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired
القيمة 1 تعني أن NLA مفعّل. إذا رأيت 0 ففعّله:
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
تدعم عملاء Remote Desktop الحالية على Windows وmacOS وLinux (xfreerdp) خاصية NLA. سيطلب الاتصال التالي كلمة المرور قبل ظهور الشاشة البعيدة.
3. اقفل الحسابات بعد المحاولات الفاشلة
التثبيت الافتراضي لـ Windows Server 2022 لا يقفل أي حساب أبداً مهما وصل من كلمات مرور خاطئة. على الخوادم المثبّتة من صورتنا منذ 24 أكتوبر 2026 يكون الحد أدناه مضبوطاً مسبقاً؛ وعلى الأقدم منها اضبطه بنفسك:
net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts
خمس كلمات مرور خاطئة خلال 15 دقيقة تقفل الحساب 15 دقيقة. جرّبنا ذلك: بعد خمس محاولات فاشلة قُفل المستخدم العادي وحساب Administrator المدمج كلاهما. يزول القفل وحده، فصباح مليء بأخطاء الكتابة يكلّفك ربع ساعة لا الخادم.
4. اسمح بـ RDP من عنوان IP الخاص بك فقط
هذه الخطوة تزيل الضجيج كله تقريباً. تقبل قواعد جدار Windows الناري قائمة بالعناوين البعيدة؛ ضع عنوانك فيها. اعرف عنوان IP العام الحالي من أي صفحة «ما هو عنوان IP الخاص بي»، ثم:
$myIp = '203.0.113.10' # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp
يجد هذا الأمر كل قواعد الوارد على المنفذ 3389، لا مجموعة «Remote Desktop» المدمجة وحدها. وهذا مهم: الخوادم المثبّتة من صورتنا قبل 24 أكتوبر 2026 فيها قاعدة إضافية اسمها «EQVPS RDP 3389» تفتح المنفذ للجميع، وقد تضيف برامج أخرى قواعدها الخاصة. إذا قيّدت المجموعة المدمجة وحدها، ستُبقي مثل هذه القاعدة المنفذ مفتوحاً. ارتكبنا هذا الخطأ بالضبط أثناء الاختبار. تحقق من النتيجة:
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}
يجب أن يظهر عنوانك في كل سطر. في اختبارنا لم يتلقَّ الاتصال من أي عنوان آخر رداً، بينما دخل العنوان المسموح به.
في خطة NAT يعمل الأمر بالطريقة نفسها. التحويل من منفذك الخاص يحافظ على عنوانك الحقيقي، فاسمح بعنوان IP العام الخاص بك.
إذا تغيّر عنوانك يتوقف RDP عن الرد عليك أيضاً. افتح وحدة التحكم في المتصفح من لوحة التحكم (لا تمر عبر RDP ولا الجدار الناري)، وسجّل الدخول، وشغّل الأمر بالعنوان الجديد. لإزالة القائمة كلياً استخدم -RemoteAddress Any.
5. اعرف من يحاول الدخول
محاولات الدخول الفاشلة هي الحدث 4625 في سجل Security. يعرض هذا الأمر اسم الحساب وعنوان كل محاولة:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}
قبل قائمة العناوين المسموح بها توقّع سيلاً متواصلاً من Administrator وadmin وuser من عناوين مجهولة. بعدها يفترض أن تهدأ القائمة.
ما لا يستحق العناء
- تغيير منفذ RDP. في خطة لها IPv4 خاص يقلل ضجيج السجل فقط؛ والماسحات تجد المنفذ الجديد سريعاً. وفي خطة NAT يكسر وصولك، لأن التحويل يذهب إلى 3389.
- إيقاف الجدار الناري «كي يعمل». إذا توقف RDP عن الرد بعد تغيير قاعدة، فأصلح القاعدة من وحدة التحكم في المتصفح.
حافظ على التحديث
جاءت أخطر حوادث RDP من ثغرات البروتوكول لا من كلمات المرور. يتلقى Windows Server 2022 تحديثات أمنية حتى 14 أكتوبر 2031، فأبقِ Windows Update مفعّلاً وأعد التشغيل حين يطلب ذلك.
الصورة هي Windows Server 2022 بترخيصك الخاص (كيف يعمل BYOL). تبدأ الخطط من Windows-Small: 4 vCPU و4 GB ذاكرة و50 GB، بسعر $11 شهرياً مع NAT. ومع IPv4 خاص تكلّف Windows Small-IP مبلغ $28 شهرياً. الخطط الأربع كلها في صفحة Windows VPS. ولاستخدام SSH إلى جانب RDP، راجع OpenSSH على Windows Server.
التعليقات
لا تعليقات بعد. كن الأول.