Apakah cukup mengganti port RDP?

Tidak. Port lain mengurangi kebisingan di log, tetapi pemindai mana pun menemukannya dalam beberapa jam. Di paket NAT jangan diganti sama sekali: port eksternal pribadi Anda diteruskan ke 3389 di dalam server, dan memindahkan RDP merusak penerusan itu. Daftar IP yang diizinkan melakukan apa yang hanya pura-pura dilakukan oleh pergantian port.

Apakah daftar IP yang diizinkan berfungsi di paket NAT?

Ya. Penerusan ke server Anda mempertahankan alamat sumber asli koneksi, jadi Windows Firewall melihat IP publik Anda sendiri dan bisa mencocokkannya. Izinkan alamat itu, bukan alamat server.

Bagaimana jika IP rumah saya berubah dan saya terkunci di luar?

Buka konsol browser dari dasbor. Konsol ini berbicara langsung dengan layar server, bukan lewat RDP, sehingga firewall tidak memblokirnya. Masuk di sana dan atur alamat baru dengan perintah Set-NetFirewallRule yang sama.

Bisakah bot mengunci akun Administrator saya?

Dengan kebijakan penguncian, bisa, masing-masing selama 15 menit: pada build Windows Server 2022 saat ini, Administrator bawaan dikunci seperti akun lain (kami sudah memeriksanya). Karena itulah daftar IP penting: bot yang tidak bisa mencapai port 3389 juga tidak bisa memicu penguncian.

Cara mengamankan RDP di VPS Windows (Server 2022)

Q: Apakah saya masih perlu pembaruan Windows jika RDP sudah dikunci?

Ya. Serangan RDP paling serius memanfaatkan celah di protokol itu sendiri, bukan kata sandi. Windows Server 2022 menerima pembaruan keamanan hingga 14 Oktober 2031, jadi biarkan Windows Update tetap aktif.

Lima langkah PowerShell yang membuat RDP di VPS Windows Server 2022 hanya menjawab Anda: autentikasi tingkat jaringan, penguncian akun, daftar IP yang diizinkan untuk semua aturan port 3389, dan cara melihat siapa yang mencoba masuk.

Port RDP yang menjawab seluruh internet mulai menerima tebakan kata sandi beberapa menit setelah server menyala. Kata sandi yang panjang akan bertahan, tetapi setiap tebakan tetap merupakan percobaan login, memenuhi log peristiwa, dan memberi celah RDP berikutnya lawan bicara. Lima langkah membereskannya. Masing-masing berupa perintah PowerShell, dan semuanya kami jalankan di image Windows Server 2022 kami sebelum menerbitkannya.

Buka PowerShell sebagai administrator lewat RDP (cara terhubung) dan ikuti urutannya. Lakukan langkah 4 terakhir: hanya langkah itu yang bisa mengunci Anda di luar.

1. Kata sandi yang panjang dan unik

Jika Anda masih memakai kata sandi dari login pertama, ganti di dasbor dengan yang panjang (20+ karakter, dari pengelola kata sandi). Semua langkah di bawah mengasumsikan kata sandinya sendiri tidak bisa ditebak.

2. Aktifkan autentikasi tingkat jaringan (NLA)

Dengan NLA, Windows memeriksa kredensial Anda sebelum membuat sesi dan menggambar layar login. Koneksi yang tidak terautentikasi tidak pernah mencapai kode desktop, tempat celah RDP paling terkenal berada. Periksa keadaan saat ini:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 berarti NLA aktif. Jika Anda melihat 0, aktifkan:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Klien Remote Desktop terbaru untuk Windows, macOS, dan Linux (xfreerdp) mendukung NLA. Koneksi berikutnya akan meminta kata sandi sebelum layar jarak jauh muncul.

3. Kunci akun setelah percobaan yang gagal

Instalasi bawaan Windows Server 2022 tidak pernah mengunci akun, berapa pun kata sandi salah yang masuk. Pada server yang dipasang dari image kami sejak 24 Oktober 2026, batas di bawah sudah diatur; pada server yang lebih lama, tetapkan sendiri:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Lima kata sandi salah dalam 15 menit mengunci akun selama 15 menit. Kami mengujinya: setelah lima percobaan gagal, pengguna biasa maupun Administrator bawaan sama-sama terkunci. Kuncinya terbuka sendiri, jadi pagi yang penuh salah ketik hanya merugikan Anda seperempat jam, bukan server.

4. Izinkan RDP hanya dari alamat IP Anda

Langkah ini menghilangkan hampir semua kebisingan. Aturan Windows Firewall menerima daftar alamat jarak jauh; isi dengan alamat Anda. Lihat IP publik Anda saat ini di halaman "berapa IP saya" mana pun, lalu:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Perintah itu menemukan setiap aturan masuk di port 3389, bukan hanya grup bawaan "Remote Desktop". Ini penting: server yang dipasang dari image kami sebelum 24 Oktober 2026 punya aturan tambahan bernama "EQVPS RDP 3389" yang membuka port untuk semua orang, dan perangkat lunak lain bisa menambahkan aturannya sendiri. Jika Anda hanya membatasi grup bawaan, aturan seperti itu tetap membiarkan port terbuka. Kesalahan itulah yang kami buat sendiri saat pengujian. Periksa hasilnya:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Setiap baris harus menampilkan alamat Anda. Dalam pengujian kami, koneksi dari alamat lain tidak mendapat jawaban, sedangkan yang diizinkan berhasil masuk.

Di paket NAT caranya sama. Penerusan dari port pribadi Anda mempertahankan alamat asli Anda, jadi izinkan IP publik Anda sendiri.

Jika IP Anda berubah, RDP juga berhenti menjawab Anda. Buka konsol browser dari dasbor (tidak lewat RDP maupun firewall), masuk, lalu jalankan perintah dengan alamat baru. Untuk menghapus daftar sepenuhnya, gunakan -RemoteAddress Any.

5. Lihat siapa yang mencoba masuk

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Sebelum daftar IP dipasang, harapkan aliran terus-menerus Administrator, admin, user dari alamat yang tidak dikenal. Setelahnya, daftar itu seharusnya menjadi sepi.

Yang tidak perlu dipusingkan

Mengganti port RDP. Di paket dengan IPv4 sendiri, ini hanya mengurangi kebisingan log; pemindai cepat menemukan port baru. Di paket NAT, ini merusak akses Anda, karena penerusan mengarah ke 3389.
Mematikan firewall "supaya jalan". Jika RDP berhenti menjawab setelah aturan diubah, perbaiki aturannya dari konsol browser.

Tetap perbarui

Insiden RDP paling serius berasal dari celah protokol, bukan kata sandi. Windows Server 2022 menerima pembaruan keamanan hingga 14 Oktober 2031, jadi biarkan Windows Update aktif dan mulai ulang saat diminta.

Image-nya adalah Windows Server 2022 dengan lisensi Anda sendiri (cara kerja BYOL). Paket dimulai dari Windows-Small: 4 vCPU, RAM 4 GB, 50 GB, $11/bln dengan NAT. Dengan IPv4 sendiri, Windows Small-IP seharga $28/bln. Keempat paket ada di halaman Windows VPS. Untuk SSH di samping RDP, lihat OpenSSH di Windows Server.

Cara mengamankan RDP di VPS Windows: NLA, penguncian akun, dan daftar IP yang diizinkan