পুরো ইন্টারনেটকে সাড়া দেওয়া একটি RDP পোর্ট সার্ভার চালুর কয়েক মিনিটের মধ্যেই পাসওয়ার্ড অনুমানের চেষ্টা পেতে শুরু করে। লম্বা পাসওয়ার্ড টিকে যাবে, কিন্তু প্রতিটি অনুমান তবু একটি লগইন প্রচেষ্টা, ইভেন্ট লগ ভরায় এবং পরবর্তী RDP ত্রুটিকে আক্রমণের সুযোগ দেয়। পাঁচটি ধাপে এর সমাধান হয়। প্রতিটি ধাপ একটি PowerShell কমান্ড, আর সবগুলো প্রকাশের আগে আমাদের Windows Server 2022 ইমেজে চালানো হয়েছে।
RDP দিয়ে অ্যাডমিনিস্ট্রেটর হিসেবে PowerShell খুলুন (কীভাবে সংযোগ করবেন) এবং ক্রমানুসারে এগোন। ধাপ 4 সবার শেষে করুন: শুধু সেটিই আপনাকে বাইরে আটকে দিতে পারে।
1. লম্বা, অনন্য পাসওয়ার্ড
এখনো প্রথম লগইনের পাসওয়ার্ড ব্যবহার করলে ড্যাশবোর্ডে সেটি লম্বা পাসওয়ার্ডে বদলান (20+ অক্ষর, পাসওয়ার্ড ম্যানেজার থেকে)। নিচের সব ধাপ ধরে নেয় যে পাসওয়ার্ড নিজে অনুমান করা যায় না।
2. নেটওয়ার্ক স্তরের প্রমাণীকরণ (NLA) চালু করুন
NLA থাকলে Windows সেশন তৈরি ও লগইন স্ক্রিন আঁকার আগেই আপনার পরিচয়পত্র যাচাই করে। অপ্রমাণিত সংযোগ কখনো ডেস্কটপ কোডে পৌঁছায় না, আর সবচেয়ে আলোচিত RDP ত্রুটিগুলো ঠিক সেখানেই ছিল। বর্তমান অবস্থা দেখুন:
(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired
1 মানে NLA চালু। 0 দেখলে চালু করুন:
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
Windows, macOS ও Linux (xfreerdp)-এর বর্তমান Remote Desktop ক্লায়েন্ট সবই NLA সমর্থন করে। পরের সংযোগে রিমোট স্ক্রিন আসার আগেই পাসওয়ার্ড চাওয়া হবে।
3. ব্যর্থ চেষ্টার পর অ্যাকাউন্ট লক করুন
Windows Server 2022-এর ডিফল্ট ইনস্টলেশনে যত ভুল পাসওয়ার্ডই আসুক কোনো অ্যাকাউন্ট কখনো লক হয় না। 24 অক্টোবর 2026 থেকে আমাদের ইমেজ দিয়ে ইনস্টল করা সার্ভারে নিচের সীমা আগে থেকেই ঠিক করা আছে; পুরোনো সার্ভারে নিজে ঠিক করুন:
net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts
15 মিনিটে পাঁচটি ভুল পাসওয়ার্ড অ্যাকাউন্টকে 15 মিনিটের জন্য লক করে। আমরা পরীক্ষা করেছি: পাঁচটি ব্যর্থ চেষ্টার পর সাধারণ ব্যবহারকারী ও বিল্ট-ইন Administrator দুটোই লক হয়েছে। লক নিজে থেকেই খুলে যায়, তাই টাইপো-ভরা সকালে আপনার ক্ষতি পনেরো মিনিট, সার্ভার নয়।
4. শুধু আপনার IP ঠিকানা থেকে RDP অনুমতি দিন
এই ধাপ প্রায় সব কোলাহল সরিয়ে দেয়। Windows ফায়ারওয়ালের নিয়ম দূরবর্তী ঠিকানার তালিকা নেয়; তাতে নিজের ঠিকানা দিন। যেকোনো "আমার IP কী" পাতায় বর্তমান পাবলিক IP দেখে নিন, তারপর:
$myIp = '203.0.113.10' # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp
এই কমান্ড শুধু বিল্ট-ইন "Remote Desktop" গ্রুপ নয়, পোর্ট 3389-এর প্রতিটি ইনবাউন্ড নিয়ম খুঁজে বের করে। এটি গুরুত্বপূর্ণ: 24 অক্টোবর 2026-এর আগে আমাদের ইমেজ দিয়ে ইনস্টল করা সার্ভারে "EQVPS RDP 3389" নামে একটি অতিরিক্ত নিয়ম আছে যা পোর্টটি সবার জন্য খোলে, আর অন্য সফটওয়্যারও নিজের নিয়ম যোগ করতে পারে। শুধু বিল্ট-ইন গ্রুপ সীমিত করলে এমন নিয়ম পোর্ট খোলা রাখবে। পরীক্ষার সময় আমরা নিজেরাই ঠিক এই ভুল করেছিলাম। ফল যাচাই করুন:
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}
প্রতিটি সারিতে আপনার ঠিকানা দেখা উচিত। আমাদের পরীক্ষায় অন্য যেকোনো ঠিকানা থেকে সংযোগ সাড়া পায়নি, আর অনুমোদিতটি ঢুকতে পেরেছে।
NAT প্ল্যানেও একইভাবে কাজ করে। আপনার ব্যক্তিগত পোর্ট থেকে আসা ফরওয়ার্ড আপনার আসল ঠিকানা বজায় রাখে, তাই নিজের পাবলিক IP অনুমোদন করুন।
আপনার IP বদলে গেলে RDP আপনাকেও আর সাড়া দেবে না। ড্যাশবোর্ড থেকে ব্রাউজার কনসোল খুলুন (এটি RDP বা ফায়ারওয়াল দিয়ে যায় না), লগইন করে নতুন ঠিকানা দিয়ে কমান্ড চালান। তালিকা পুরো তুলে দিতে -RemoteAddress Any ব্যবহার করুন।
5. কে ঢোকার চেষ্টা করছে দেখুন
ব্যর্থ লগইন হলো Security লগের ইভেন্ট 4625। এই কমান্ড প্রতিটি চেষ্টার অ্যাকাউন্টের নাম ও ঠিকানা দেখায়:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}
অনুমোদিত তালিকার আগে অচেনা ঠিকানা থেকে Administrator, admin, user-এর অবিরাম স্রোত আশা করুন। তারপর তালিকাটি শান্ত হয়ে যাওয়া উচিত।
যাতে সময় নষ্ট করবেন না
- RDP পোর্ট বদলানো। নিজস্ব IPv4 প্ল্যানে এটি শুধু লগের কোলাহল কমায়; স্ক্যানার দ্রুত নতুন পোর্ট খুঁজে পায়। NAT প্ল্যানে এটি আপনার প্রবেশাধিকার ভাঙে, কারণ ফরওয়ার্ড 3389-এ যায়।
- "চালু করতে" ফায়ারওয়াল বন্ধ করা। নিয়ম বদলানোর পর RDP সাড়া না দিলে ব্রাউজার কনসোল থেকে নিয়ম ঠিক করুন।
আপডেট রাখুন
সবচেয়ে গুরুতর RDP ঘটনাগুলো এসেছিল প্রোটোকলের ত্রুটি থেকে, পাসওয়ার্ড থেকে নয়। Windows Server 2022 14 অক্টোবর 2031 পর্যন্ত নিরাপত্তা আপডেট পায়, তাই Windows Update চালু রাখুন এবং চাইলে রিস্টার্ট করুন।
ইমেজটি আপনার নিজের লাইসেন্স সহ Windows Server 2022 (BYOL কীভাবে কাজ করে)। প্ল্যান শুরু Windows-Small থেকে: 4 vCPU, 4 GB RAM, 50 GB, NAT সহ $11/মাস। নিজস্ব IPv4 সহ Windows Small-IP $28/মাস। চারটি প্ল্যানই Windows VPS পাতায়। RDP-এর পাশাপাশি SSH-এর জন্য দেখুন Windows Server-এ OpenSSH।
মন্তব্য
এখনো কোনো মন্তব্য নেই। প্রথম হোন।