Πώς να προστατέψετε το RDP σε Windows VPS: NLA, κλείδωμα λογαριασμού και λίστα επιτρεπόμενων IP

Μια θύρα RDP που απαντά σε όλο το διαδίκτυο δέχεται απόπειρες κωδικού λίγα λεπτά μετά την εκκίνηση του server. Ένας μακρύς κωδικός αντέχει, αλλά κάθε απόπειρα είναι ακόμη σύνδεση, γεμίζει το αρχείο συμβάντων και δίνει στο επόμενο σφάλμα του RDP κάποιον να μιλήσει. Πέντε βήματα το διορθώνουν. Το καθένα είναι μια εντολή PowerShell, και όλα τα εκτελέσαμε στην εικόνα μας Windows Server 2022 πριν από τη δημοσίευση.

Ανοίξτε το PowerShell ως διαχειριστής μέσω RDP (πώς να συνδεθείτε) και προχωρήστε με τη σειρά. Κάντε το βήμα 4 τελευταίο: είναι το μόνο που μπορεί να σας κλειδώσει έξω.

1. Ένας μακρύς, μοναδικός κωδικός

Αν χρησιμοποιείτε ακόμη τον κωδικό της πρώτης σύνδεσης, αλλάξτε τον από τον πίνακα ελέγχου σε έναν μακρύ (20+ χαρακτήρες, από διαχειριστή κωδικών). Όλα τα παρακάτω βήματα υποθέτουν ότι ο ίδιος ο κωδικός δεν μαντεύεται.

2. Ενεργοποιήστε τον έλεγχο ταυτότητας σε επίπεδο δικτύου (NLA)

Με το NLA τα Windows ελέγχουν τα διαπιστευτήριά σας πριν δημιουργήσουν συνεδρία και σχεδιάσουν οθόνη σύνδεσης. Οι μη πιστοποιημένες συνδέσεις δεν φτάνουν ποτέ στον κώδικα της επιφάνειας εργασίας, εκεί όπου βρίσκονταν τα πιο γνωστά σφάλματα του RDP. Ελέγξτε την τρέχουσα κατάσταση:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

Το 1 σημαίνει ότι το NLA είναι ενεργό. Αν βλέπετε 0, ενεργοποιήστε το:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Οι τρέχοντες πελάτες Απομακρυσμένης επιφάνειας εργασίας για Windows, macOS και Linux (xfreerdp) υποστηρίζουν NLA. Η επόμενη σύνδεση θα ζητήσει τον κωδικό πριν εμφανιστεί η απομακρυσμένη οθόνη.

3. Κλειδώστε λογαριασμούς μετά από αποτυχημένες απόπειρες

Μια προεπιλεγμένη εγκατάσταση του Windows Server 2022 δεν κλειδώνει ποτέ λογαριασμό, όσοι λάθος κωδικοί κι αν έρθουν. Στους διακομιστές που εγκαταστάθηκαν από την εικόνα μας από τις 24 Οκτωβρίου 2026 το παρακάτω όριο είναι ήδη ρυθμισμένο· στους παλαιότερους ορίστε το:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Πέντε λάθος κωδικοί μέσα σε 15 λεπτά κλειδώνουν τον λογαριασμό για 15 λεπτά. Το δοκιμάσαμε: μετά από πέντε αποτυχημένες απόπειρες είχαν κλειδωθεί και ένας απλός χρήστης και ο ενσωματωμένος Administrator. Το κλείδωμα αίρεται μόνο του, οπότε ένα πρωινό γεμάτο ορθογραφικά σας κοστίζει ένα τέταρτο, όχι τον server.

4. Επιτρέψτε το RDP μόνο από τη δική σας IP

Αυτό το βήμα αφαιρεί σχεδόν όλο τον θόρυβο. Οι κανόνες του Τείχους προστασίας των Windows δέχονται λίστα απομακρυσμένων διευθύνσεων· βάλτε τη δική σας. Δείτε την τρέχουσα δημόσια IP σας σε οποιαδήποτε σελίδα «ποια είναι η IP μου» και μετά:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Η εντολή βρίσκει κάθε εισερχόμενο κανόνα στη θύρα 3389, όχι μόνο την ενσωματωμένη ομάδα «Απομακρυσμένη επιφάνεια εργασίας». Αυτό μετράει: οι διακομιστές που εγκαταστάθηκαν από την εικόνα μας πριν από τις 24 Οκτωβρίου 2026 έχουν έναν επιπλέον κανόνα με όνομα «EQVPS RDP 3389» που ανοίγει τη θύρα σε όλους, και άλλο λογισμικό μπορεί να προσθέσει δικούς του. Αν περιορίσετε μόνο την ενσωματωμένη ομάδα, ένας τέτοιος κανόνας κρατά τη θύρα ανοιχτή. Ακριβώς αυτό το λάθος κάναμε κι εμείς στη δοκιμή. Ελέγξτε το αποτέλεσμα:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Κάθε γραμμή πρέπει να δείχνει τη διεύθυνσή σας. Στη δοκιμή μας μια σύνδεση από οποιαδήποτε άλλη διεύθυνση έμενε χωρίς απάντηση, ενώ η επιτρεπόμενη περνούσε.

Σε πρόγραμμα NAT λειτουργεί με τον ίδιο τρόπο. Η προώθηση από την προσωπική σας θύρα διατηρεί την πραγματική σας διεύθυνση, οπότε επιτρέψτε τη δική σας δημόσια IP.

Αν αλλάξει η IP σας, το RDP σταματά να απαντά και σε εσάς. Ανοίξτε την κονσόλα στον browser από τον πίνακα ελέγχου (δεν περνά από το RDP ή το τείχος προστασίας), συνδεθείτε και εκτελέστε την εντολή με τη νέα διεύθυνση. Για να αναιρέσετε εντελώς τη λίστα, χρησιμοποιήστε -RemoteAddress Any.

5. Δείτε ποιος προσπαθεί να μπει

Οι αποτυχημένες συνδέσεις είναι το συμβάν 4625 στο αρχείο Ασφάλειας. Αυτό δείχνει το όνομα λογαριασμού και τη διεύθυνση κάθε απόπειρας:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Πριν από τη λίστα επιτρεπόμενων IP περιμένετε σταθερή ροή από Administrator, admin, user από άγνωστες διευθύνσεις. Μετά, η λίστα πρέπει να ησυχάσει.

Τι δεν αξίζει τον κόπο

• Αλλαγή της θύρας RDP. Σε πρόγραμμα με δικό του IPv4 μειώνει μόνο τον θόρυβο στο αρχείο καταγραφής· οι σαρωτές βρίσκουν γρήγορα τη νέα θύρα. Σε πρόγραμμα NAT σπάει την πρόσβασή σας, γιατί η προώθηση πηγαίνει στην 3389.
• Απενεργοποίηση του τείχους προστασίας «για να δουλέψει». Αν το RDP σταματήσει να απαντά μετά από αλλαγή κανόνα, διορθώστε τον κανόνα από την κονσόλα του browser.

Ενημερώσεις

Τα σοβαρότερα περιστατικά RDP προήλθαν από σφάλματα πρωτοκόλλου, όχι από κωδικούς. Ο Windows Server 2022 λαμβάνει ενημερώσεις ασφαλείας έως τις 14 Οκτωβρίου 2031, οπότε αφήστε ενεργό το Windows Update και κάντε επανεκκίνηση όταν ζητηθεί.

Η εικόνα είναι Windows Server 2022 με τη δική σας άδεια (πώς λειτουργεί το BYOL). Τα προγράμματα ξεκινούν από το Windows-Small: 4 vCPU, 4 GB RAM, 50 GB, $11/μήνα με NAT. Με δικό του IPv4, το Windows Small-IP κοστίζει $28/μήνα. Και τα τέσσερα προγράμματα είναι στη σελίδα Windows VPS. Για SSH δίπλα στο RDP, δείτε OpenSSH σε Windows Server.