पूरे इंटरनेट को जवाब देने वाला RDP पोर्ट सर्वर चालू होने के कुछ ही मिनटों में पासवर्ड अनुमान झेलने लगता है। लंबा पासवर्ड टिक जाएगा, लेकिन हर अनुमान फिर भी एक लॉगिन प्रयास है, इवेंट लॉग भरता है और अगली RDP खामी को हमले का मौका देता है। पाँच चरण इसे ठीक करते हैं। हर चरण एक PowerShell कमांड है, और सभी हमने प्रकाशित करने से पहले अपनी Windows Server 2022 इमेज पर चलाए।
RDP से व्यवस्थापक के रूप में PowerShell खोलें (कनेक्ट कैसे करें) और क्रम से चलें। चरण 4 आख़िर में करें: सिर्फ़ यही आपको बाहर कर सकता है।
1. लंबा, अनोखा पासवर्ड
अगर आप अब भी पहले लॉगिन का पासवर्ड इस्तेमाल कर रहे हैं, तो डैशबोर्ड में उसे लंबे पासवर्ड से बदलें (20+ अक्षर, पासवर्ड मैनेजर से)। नीचे के सभी चरण मानते हैं कि पासवर्ड ख़ुद अनुमान लायक नहीं है।
2. नेटवर्क स्तर प्रमाणीकरण (NLA) चालू करें
NLA के साथ Windows सत्र बनाने और लॉगिन स्क्रीन दिखाने से पहले आपकी साख जाँचता है। बिना प्रमाणीकरण वाले कनेक्शन कभी डेस्कटॉप कोड तक नहीं पहुँचते, और सबसे चर्चित RDP खामियाँ वहीं थीं। मौजूदा स्थिति देखें:
(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired
1 का मतलब है NLA चालू है। अगर 0 दिखे, तो चालू करें:
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
Windows, macOS और Linux (xfreerdp) के मौजूदा Remote Desktop क्लाइंट NLA का समर्थन करते हैं। अगला कनेक्शन रिमोट स्क्रीन आने से पहले पासवर्ड पूछेगा।
3. विफल प्रयासों के बाद खाते लॉक करें
Windows Server 2022 की डिफ़ॉल्ट इंस्टॉलेशन में कितने भी गलत पासवर्ड आएँ, कोई खाता कभी लॉक नहीं होता। 24 अक्टूबर 2026 से हमारी इमेज से इंस्टॉल किए गए सर्वरों पर नीचे की सीमा पहले से तय है; पुराने सर्वरों पर इसे ख़ुद तय करें:
net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts
15 मिनट में पाँच गलत पासवर्ड खाते को 15 मिनट के लिए लॉक कर देते हैं। हमने जाँचा: पाँच विफल प्रयासों के बाद सामान्य उपयोगकर्ता और बिल्ट-इन Administrator दोनों लॉक हो गए। लॉक अपने आप हट जाता है, इसलिए टाइपो वाली सुबह में आपका नुकसान पंद्रह मिनट है, सर्वर नहीं।
4. RDP को सिर्फ़ अपने IP पते से अनुमति दें
यह चरण लगभग सारा शोर हटा देता है। Windows फ़ायरवॉल नियम रिमोट पतों की सूची लेते हैं; उसमें अपना पता डालें। किसी भी "मेरा IP क्या है" पेज पर अपना मौजूदा सार्वजनिक IP देखें, फिर:
$myIp = '203.0.113.10' # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp
यह कमांड पोर्ट 3389 के हर इनबाउंड नियम को ढूँढती है, सिर्फ़ बिल्ट-इन "Remote Desktop" समूह को नहीं। यह अहम है: 24 अक्टूबर 2026 से पहले हमारी इमेज से इंस्टॉल किए गए सर्वरों में "EQVPS RDP 3389" नाम का एक अतिरिक्त नियम है जो पोर्ट सबके लिए खोलता है, और दूसरे सॉफ़्टवेयर भी अपने नियम जोड़ सकते हैं। अगर आप सिर्फ़ बिल्ट-इन समूह को सीमित करेंगे, तो ऐसा नियम पोर्ट खुला रखेगा। परीक्षण के दौरान हमने ख़ुद यही गलती की। नतीजा जाँचें:
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}
हर पंक्ति में आपका पता दिखना चाहिए। हमारे परीक्षण में किसी दूसरे पते से कनेक्शन को जवाब नहीं मिला, जबकि अनुमत पता अंदर आ गया।
NAT प्लान पर भी यही काम करता है। आपके निजी पोर्ट से आने वाला फ़ॉरवर्ड आपका असली पता बनाए रखता है, इसलिए अपना सार्वजनिक IP अनुमत करें।
अगर आपका IP बदल जाए, तो RDP आपको भी जवाब देना बंद कर देगा। डैशबोर्ड से ब्राउज़र कंसोल खोलें (यह RDP या फ़ायरवॉल से होकर नहीं जाता), लॉगिन करें और नए पते के साथ कमांड चलाएँ। सूची पूरी तरह हटाने के लिए -RemoteAddress Any इस्तेमाल करें।
5. देखें कि कौन अंदर आने की कोशिश कर रहा है
विफल लॉगिन Security लॉग में इवेंट 4625 होते हैं। यह कमांड हर प्रयास का खाता नाम और पता दिखाती है:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}
अनुमत सूची से पहले अनजान पतों से Administrator, admin, user की लगातार धारा की उम्मीद करें। उसके बाद सूची शांत हो जानी चाहिए।
किन बातों में समय न गँवाएँ
- RDP पोर्ट बदलना। अपने IPv4 वाले प्लान पर यह सिर्फ़ लॉग का शोर घटाता है; स्कैनर नया पोर्ट जल्दी ढूँढ लेते हैं। NAT प्लान पर यह आपकी पहुँच तोड़ देता है, क्योंकि फ़ॉरवर्ड 3389 पर जाता है।
- "काम कराने के लिए" फ़ायरवॉल बंद करना। नियम बदलने के बाद RDP जवाब देना बंद करे, तो ब्राउज़र कंसोल से नियम ठीक करें।
अपडेट रखें
सबसे गंभीर RDP घटनाएँ प्रोटोकॉल की खामियों से हुईं, पासवर्ड से नहीं। Windows Server 2022 को 14 अक्टूबर 2031 तक सुरक्षा अपडेट मिलते हैं, इसलिए Windows Update चालू रखें और माँगने पर रीस्टार्ट करें।
इमेज आपके अपने लाइसेंस के साथ Windows Server 2022 है (BYOL कैसे काम करता है)। प्लान Windows-Small से शुरू होते हैं: 4 vCPU, 4 GB RAM, 50 GB, NAT के साथ $11/महीना। अपने IPv4 के साथ Windows Small-IP $28/महीना है। चारों प्लान Windows VPS पेज पर हैं। RDP के साथ SSH के लिए देखें Windows Server पर OpenSSH।
टिप्पणियाँ
अभी तक कोई टिप्पणी नहीं। पहले बनें।