Sécuriser RDP sur un VPS Windows : NLA, verrouillage de compte et liste d'IP autorisées

Un port RDP qui répond à tout Internet reçoit des essais de mot de passe quelques minutes après le démarrage du serveur. Un long mot de passe tient, mais chaque essai reste une tentative de connexion, remplit le journal des événements et offre un interlocuteur à la prochaine faille RDP. Cinq étapes règlent cela. Chacune est une commande PowerShell, et toutes ont été exécutées sur notre image Windows Server 2022 avant publication.

Ouvrez PowerShell en tant qu'administrateur via RDP (comment se connecter) et suivez l'ordre. Gardez l'étape 4 pour la fin : c'est la seule qui peut vous enfermer dehors.

1. Un mot de passe long et unique

Si vous utilisez encore le mot de passe de la première connexion, changez-le dans le tableau de bord pour un mot de passe long (20 caractères ou plus, depuis un gestionnaire de mots de passe). Toutes les étapes suivantes supposent que le mot de passe lui-même ne se devine pas.

2. Activer l'authentification au niveau du réseau (NLA)

Avec NLA, Windows vérifie vos identifiants avant de créer une session et d'afficher un écran de connexion. Les connexions non authentifiées n'atteignent jamais le code du bureau, là où se trouvaient les failles RDP les plus connues. Vérifiez l'état actuel :

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 signifie que NLA est active. Si vous voyez 0, activez-la :

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Les clients Bureau à distance actuels sous Windows, macOS et Linux (xfreerdp) prennent tous en charge NLA. Votre prochaine connexion demandera le mot de passe avant d'afficher l'écran distant.

3. Verrouiller les comptes après des échecs

Une installation par défaut de Windows Server 2022 ne verrouille jamais un compte, quel que soit le nombre de mauvais mots de passe. Sur les serveurs installés depuis notre image à partir du 24 octobre 2026, la limite ci-dessous est déjà en place ; sur les plus anciens, fixez-la :

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Cinq mauvais mots de passe en 15 minutes verrouillent le compte pendant 15 minutes. Nous l'avons testé : après cinq essais ratés, un utilisateur normal et l'Administrator intégré étaient tous deux verrouillés. Le verrou se lève tout seul : une matinée de fautes de frappe vous coûte un quart d'heure, pas le serveur.

4. N'autoriser RDP que depuis votre IP

Cette étape supprime presque tout le bruit. Les règles du Pare-feu Windows acceptent une liste d'adresses distantes ; mettez la vôtre. Trouvez votre IP publique actuelle sur n'importe quelle page « quelle est mon IP », puis :

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Cette commande trouve toutes les règles entrantes sur le port 3389, pas seulement le groupe intégré « Bureau à distance ». C'est important : les serveurs installés depuis notre image avant le 24 octobre 2026 comportent une règle supplémentaire nommée « EQVPS RDP 3389 » qui ouvre le port à tous, et d'autres logiciels peuvent ajouter les leurs. Si vous ne restreignez que le groupe intégré, une telle règle garde le port ouvert. Nous avons commis exactement cette erreur pendant nos tests. Vérifiez le résultat :

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Chaque ligne doit afficher votre adresse. Dans notre test, une connexion depuis toute autre adresse restait sans réponse, et l'adresse autorisée passait.

Sur une offre NAT, c'est pareil. La redirection depuis votre port personnel conserve votre vraie adresse : autorisez votre propre IP publique.

Si votre IP change, RDP cesse aussi de vous répondre. Ouvrez la console du navigateur depuis le tableau de bord (elle ne passe ni par RDP ni par le pare-feu), connectez-vous et relancez la commande avec la nouvelle adresse. Pour annuler complètement la liste, utilisez -RemoteAddress Any.

5. Voir qui essaie d'entrer

Les échecs de connexion sont l'événement 4625 du journal Sécurité. Ceci affiche le nom du compte et l'adresse de chaque tentative :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Avant la liste d'IP, attendez-vous à un flux constant d'Administrator, admin, user depuis des adresses inconnues. Après, la liste devrait se taire.

Ce qui ne sert à rien

• Changer le port RDP. Sur une offre avec sa propre IPv4, cela réduit seulement le bruit des journaux ; les scanners trouvent vite le nouveau port. Sur une offre NAT, cela casse votre accès, car la redirection va vers 3389.
• Couper le pare-feu « pour que ça marche ». Si RDP ne répond plus après une modification de règle, corrigez la règle depuis la console du navigateur.

Rester à jour

Les incidents RDP les plus graves venaient de failles du protocole, pas de mots de passe. Windows Server 2022 reçoit des mises à jour de sécurité jusqu'au 14 octobre 2031 : laissez Windows Update activé et redémarrez quand il le demande.

L'image est Windows Server 2022 avec votre propre licence (comment fonctionne le BYOL). Les offres commencent à Windows-Small : 4 vCPU, 4 Go de RAM, 50 Go, $11/mois en NAT. Avec sa propre IPv4, Windows Small-IP coûte $28/mois. Les quatre offres sont sur la page Windows VPS. Pour SSH à côté de RDP, voir OpenSSH sur Windows Server.