פורט RDP שעונה לכל האינטרנט מתחיל לקבל ניחושי סיסמה דקות ספורות אחרי שהשרת עולה. סיסמה ארוכה תחזיק, אבל כל ניחוש הוא עדיין ניסיון כניסה, ממלא את יומן האירועים ונותן לפגם ה-RDP הבא עם מי לדבר. חמישה צעדים פותרים את זה. כל צעד הוא פקודת PowerShell, וכולם הורצו על אימג' Windows Server 2022 שלנו לפני הפרסום.
פתחו PowerShell כמנהל דרך RDP (איך מתחברים) והתקדמו לפי הסדר. השאירו את צעד 4 לסוף: רק הוא יכול לנעול אתכם בחוץ.
1. סיסמה ארוכה וייחודית
אם אתם עדיין משתמשים בסיסמת הכניסה הראשונה, החליפו אותה בלוח הבקרה לסיסמה ארוכה (20 תווים ומעלה, ממנהל סיסמאות). כל הצעדים הבאים מניחים שאת הסיסמה עצמה אי אפשר לנחש.
2. הפעילו אימות ברמת הרשת (NLA)
עם NLA, Windows בודק את פרטי ההתחברות לפני שהוא יוצר סשן ומצייר מסך כניסה. חיבורים לא מאומתים לא מגיעים אף פעם לקוד שולחן העבודה, ושם בדיוק ישבו פגמי ה-RDP המפורסמים ביותר. בדקו את המצב הנוכחי:
(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired
1 פירושו ש-NLA פעיל. אם אתם רואים 0, הפעילו אותו:
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
לקוחות Remote Desktop עדכניים ל-Windows, macOS ו-Linux (xfreerdp) תומכים ב-NLA. החיבור הבא יבקש סיסמה לפני שהמסך המרוחק מופיע.
3. נעלו חשבונות אחרי ניסיונות כושלים
התקנת ברירת המחדל של Windows Server 2022 לא נועלת אף חשבון לעולם, לא משנה כמה סיסמאות שגויות מגיעות. בשרתים שהותקנו מהאימג' שלנו מאז 24 באוקטובר 2026 הגבול שלהלן כבר מוגדר; בשרתים ישנים יותר קבעו אותו בעצמכם:
net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts
חמש סיסמאות שגויות תוך 15 דקות נועלות את החשבון ל-15 דקות. בדקנו: אחרי חמישה ניסיונות כושלים ננעלו גם משתמש רגיל וגם ה-Administrator המובנה. הנעילה משתחררת מעצמה, כך שבוקר מלא שגיאות הקלדה יעלה לכם רבע שעה, לא את השרת.
4. אפשרו RDP רק מכתובת ה-IP שלכם
הצעד הזה מעלים כמעט את כל הרעש. כללי חומת האש של Windows מקבלים רשימת כתובות מרוחקות; הכניסו את שלכם. בדקו את ה-IP הציבורי הנוכחי שלכם בכל דף "מה ה-IP שלי", ואז:
$myIp = '203.0.113.10' # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp
הפקודה מוצאת את כל הכללים הנכנסים על פורט 3389, לא רק את הקבוצה המובנית "Remote Desktop". זה חשוב: בשרתים שהותקנו מהאימג' שלנו לפני 24 באוקטובר 2026 יש כלל נוסף בשם "EQVPS RDP 3389" שפותח את הפורט לכולם, ותוכנות אחרות יכולות להוסיף כללים משלהן. אם תגבילו רק את הקבוצה המובנית, כלל כזה ישאיר את הפורט פתוח. בדיוק את הטעות הזו עשינו בעצמנו בזמן הבדיקה. בדקו את התוצאה:
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}
בכל שורה צריכה להופיע הכתובת שלכם. בבדיקה שלנו חיבור מכל כתובת אחרת לא קיבל תשובה, והכתובת המורשית נכנסה.
בתוכנית NAT זה עובד אותו דבר. ההעברה מהפורט האישי שלכם שומרת את הכתובת האמיתית, אז אשרו את ה-IP הציבורי שלכם.
אם ה-IP שלכם מתחלף, RDP מפסיק לענות גם לכם. פתחו את מסוף הדפדפן מלוח הבקרה (הוא לא עובר דרך RDP או חומת האש), התחברו והריצו את הפקודה עם הכתובת החדשה. כדי לבטל את הרשימה לגמרי השתמשו ב--RemoteAddress Any.
5. ראו מי מנסה להיכנס
כניסות שנכשלו הן אירוע 4625 ביומן Security. הפקודה הזו מציגה את שם החשבון ואת הכתובת של כל ניסיון:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}
לפני רשימת ה-IP צפו לזרם קבוע של Administrator, admin, user מכתובות לא מוכרות. אחריה הרשימה אמורה להשתתק.
על מה לא כדאי לבזבז זמן
- שינוי פורט ה-RDP. בתוכנית עם IPv4 משלה זה רק מפחית רעש ביומן; סורקים מוצאים מהר את הפורט החדש. בתוכנית NAT זה שובר את הגישה שלכם, כי ההעברה הולכת ל-3389.
- כיבוי חומת האש "כדי שזה יעבוד". אם RDP הפסיק לענות אחרי שינוי כלל, תקנו את הכלל ממסוף הדפדפן.
הישארו מעודכנים
אירועי ה-RDP החמורים ביותר הגיעו מפגמי פרוטוקול, לא מסיסמאות. Windows Server 2022 מקבל עדכוני אבטחה עד 14 באוקטובר 2031, אז השאירו את Windows Update פעיל ואתחלו כשהוא מבקש.
האימג' הוא Windows Server 2022 עם הרישיון שלכם (איך BYOL עובד). התוכניות מתחילות ב-Windows-Small: 4 vCPU, 4 GB זיכרון, 50 GB, $11 לחודש עם NAT. עם IPv4 משלה, Windows Small-IP עולה $28 לחודש. כל ארבע התוכניות בעמוד Windows VPS. ל-SSH לצד RDP, ראו OpenSSH ב-Windows Server.
תגובות
אין עדיין תגובות. היו הראשונים.