Er det nok at skifte RDP-port?

Nej. En anden port mindsker støjen i loggen, men enhver scanner finder den inden for få timer. På en NAT-plan skal du slet ikke skifte: din personlige eksterne port viderestilles til 3389 inde i serveren, og at flytte RDP bryder viderestillingen. En liste over tilladte IP'er gør det, som portskiftet kun lader som om.

Virker tilladelseslisten på en NAT-plan?

Ja. Viderestillingen til din server bevarer forbindelsens rigtige kildeadresse, så Windows Firewall ser din egen offentlige IP og kan sammenligne den. Tillad den adresse, ikke serverens.

Hvad hvis min IP derhjemme skifter, og jeg låser mig selv ude?

Åbn browserkonsollen fra kontrolpanelet. Den taler direkte med serverens skærm, ikke via RDP, så firewallen blokerer den ikke. Log ind dér og sæt den nye adresse med den samme Set-NetFirewallRule-kommando.

Kan en bot spærre min Administrator-konto?

Med en spærringspolitik ja, 15 minutter ad gangen: på aktuelle builds af Windows Server 2022 spærres den indbyggede Administrator som enhver anden konto (vi har tjekket det). Derfor betyder tilladelseslisten noget: bots, der ikke når port 3389, kan heller ikke udløse spærringen.

Sådan sikrer du RDP på en Windows-VPS (Server 2022)

Q: Har jeg stadig brug for Windows-opdateringer, når RDP er låst?

Ja. De alvorligste RDP-angreb udnyttede fejl i selve protokollen, ikke adgangskoder. Windows Server 2022 får sikkerhedsopdateringer til 14. oktober 2031, så lad Windows Update være slået til.

Fem PowerShell-trin, der tager en Windows Server 2022-VPS fra 'RDP åben for alle' til 'RDP svarer kun dig': godkendelse på netværksniveau, kontospærring, en tilladelsesliste, der dækker alle 3389-regler, og en måde at se, hvem der prøver at logge ind.

En RDP-port, der svarer hele internettet, får adgangskodeforsøg få minutter efter, at serveren er startet. En lang adgangskode holder, men hvert forsøg er stadig et login, fylder hændelsesloggen og giver den næste RDP-fejl nogen at tale med. Fem trin løser det. Hvert trin er en PowerShell-kommando, og alle blev kørt på vores Windows Server 2022-image før udgivelse.

Åbn PowerShell som administrator via RDP (sådan forbinder du) og gå i rækkefølge. Tag trin 4 sidst: det er det eneste, der kan låse dig ude.

1. En lang, unik adgangskode

Bruger du stadig adgangskoden fra første login, så skift den i kontrolpanelet til en lang (20+ tegn, fra en adgangskodeadministrator). Alle trin nedenfor forudsætter, at selve adgangskoden ikke kan gættes.

2. Slå godkendelse på netværksniveau (NLA) til

Med NLA kontrollerer Windows dine loginoplysninger, før der oprettes en session og tegnes en loginskærm. Ugodkendte forbindelser når aldrig skrivebordskoden, og det var dér, de mest kendte RDP-fejl sad. Tjek den nuværende tilstand:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 betyder, at NLA er slået til. Ser du 0, så slå det til:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Aktuelle Fjernskrivebord-klienter til Windows, macOS og Linux (xfreerdp) understøtter NLA. Næste forbindelse beder om adgangskoden, før fjernskærmen vises.

3. Spær konti efter mislykkede forsøg

En standardinstallation af Windows Server 2022 spærrer aldrig en konto, uanset hvor mange forkerte adgangskoder der kommer. På servere installeret fra vores image siden 24. oktober 2026 er grænsen nedenfor allerede sat; på ældre sætter du den selv:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Fem forkerte adgangskoder inden for 15 minutter spærrer kontoen i 15 minutter. Vi testede det: efter fem mislykkede forsøg var både en almindelig bruger og den indbyggede Administrator spærret. Spærringen ophæves af sig selv, så en morgen fuld af tastefejl koster dig et kvarter, ikke serveren.

4. Tillad kun RDP fra din IP-adresse

Dette trin fjerner næsten al støj. Regler i Windows Firewall accepterer en liste over fjernadresser; skriv din. Find din nuværende offentlige IP på en hvilken som helst „hvad er min IP”-side, og derefter:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Kommandoen finder alle indgående regler på port 3389, ikke kun den indbyggede gruppe „Fjernskrivebord”. Det betyder noget: servere installeret fra vores image før 24. oktober 2026 har en ekstra regel ved navn „EQVPS RDP 3389”, som åbner porten for alle, og anden software kan tilføje sine egne. Begrænser du kun den indbyggede gruppe, holder sådan en regel porten åben. Præcis den fejl begik vi selv under testen. Tjek resultatet:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Hver linje skal vise din adresse. I vores test fik en forbindelse fra enhver anden adresse intet svar, mens den tilladte kom igennem.

På en NAT-plan virker det på samme måde. Viderestillingen fra din personlige port bevarer din rigtige adresse, så tillad din egen offentlige IP.

Skifter din IP, holder RDP også op med at svare dig. Åbn browserkonsollen fra kontrolpanelet (den går ikke via RDP eller firewallen), log ind og kør kommandoen med den nye adresse. For at fjerne listen helt bruger du -RemoteAddress Any.

5. Se, hvem der prøver at komme ind

Mislykkede logins er hændelse 4625 i sikkerhedsloggen. Dette viser kontonavnet og adressen for hvert forsøg:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Før tilladelseslisten kan du forvente en jævn strøm af Administrator, admin, user fra ukendte adresser. Bagefter bør listen blive stille.

Hvad der ikke er besværet værd

At skifte RDP-port. På en plan med egen IPv4 mindsker det kun støjen i loggen; scannere finder hurtigt den nye port. På en NAT-plan bryder det din adgang, fordi viderestillingen går til 3389.
At slå firewallen fra „så det virker”. Holder RDP op med at svare efter en regelændring, så ret reglen via browserkonsollen.

Hold det opdateret

De alvorligste RDP-hændelser kom fra protokolfejl, ikke adgangskoder. Windows Server 2022 får sikkerhedsopdateringer til 14. oktober 2031, så lad Windows Update være slået til og genstart, når den beder om det.

Imaget er Windows Server 2022 med din egen licens (sådan virker BYOL). Planerne starter ved Windows-Small: 4 vCPU, 4 GB RAM, 50 GB, $11/md. med NAT. Med egen IPv4 koster Windows Small-IP $28/md. Alle fire planer står på Windows VPS-siden. For SSH ved siden af RDP, se OpenSSH på Windows Server.

Sådan sikrer du RDP på en Windows-VPS: NLA, kontospærring og en liste over tilladte IP'er