Come proteggere RDP su un VPS Windows: NLA, blocco account e lista di IP consentiti

Una porta RDP che risponde a tutta Internet riceve tentativi di password pochi minuti dopo l'avvio del server. Una password lunga regge, ma ogni tentativo resta un accesso, riempie il registro eventi e offre un interlocutore alla prossima falla di RDP. Cinque passi risolvono. Ognuno è un comando PowerShell, e li abbiamo eseguiti tutti sulla nostra immagine Windows Server 2022 prima di pubblicare.

Apri PowerShell come amministratore via RDP (come connettersi) e procedi in ordine. Lascia il passo 4 per ultimo: è l'unico che può chiuderti fuori.

1. Una password lunga e unica

Se usi ancora la password del primo accesso, cambiala dal pannello con una lunga (20+ caratteri, da un gestore di password). Tutti i passi seguenti presuppongono che la password in sé non sia indovinabile.

2. Attiva l'autenticazione a livello di rete (NLA)

Con NLA, Windows verifica le credenziali prima di creare una sessione e disegnare la schermata di accesso. Le connessioni non autenticate non raggiungono mai il codice del desktop, dove stavano le falle RDP più note. Controlla lo stato attuale:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 significa che NLA è attiva. Se vedi 0, attivala:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

I client Desktop remoto attuali per Windows, macOS e Linux (xfreerdp) supportano NLA. La prossima connessione chiederà la password prima di mostrare lo schermo remoto.

3. Blocca gli account dopo i tentativi falliti

Un'installazione predefinita di Windows Server 2022 non blocca mai un account, per quante password sbagliate arrivino. Sui server installati dalla nostra immagine dal 24 ottobre 2026 il limite qui sotto è già impostato; su quelli precedenti, impostalo tu:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Cinque password sbagliate in 15 minuti bloccano l'account per 15 minuti. L'abbiamo provato: dopo cinque tentativi falliti erano bloccati sia un utente normale sia l'Administrator integrato. Il blocco si toglie da solo, quindi una mattina piena di refusi ti costa un quarto d'ora, non il server.

4. Consenti RDP solo dal tuo IP

Questo passo elimina quasi tutto il rumore. Le regole di Windows Firewall accettano una lista di indirizzi remoti; inserisci il tuo. Trova il tuo IP pubblico attuale su una qualsiasi pagina «qual è il mio IP», poi:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Il comando trova tutte le regole in ingresso sulla porta 3389, non solo il gruppo integrato «Desktop remoto». Conta: i server installati dalla nostra immagine prima del 24 ottobre 2026 hanno una regola in più chiamata «EQVPS RDP 3389» che apre la porta a tutti, e altri software possono aggiungerne di propri. Se limiti solo il gruppo integrato, una regola del genere tiene la porta aperta. È esattamente l'errore che abbiamo fatto durante i test. Controlla il risultato:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Ogni riga deve mostrare il tuo indirizzo. Nel nostro test, una connessione da qualsiasi altro indirizzo restava senza risposta, quella consentita passava.

Su un piano NAT funziona allo stesso modo. L'inoltro dalla tua porta personale conserva il tuo indirizzo reale, quindi consenti il tuo IP pubblico.

Se il tuo IP cambia, RDP smette di rispondere anche a te. Apri la console nel browser dal pannello (non passa da RDP né dal firewall), accedi ed esegui il comando con il nuovo indirizzo. Per annullare del tutto la lista, usa -RemoteAddress Any.

5. Guarda chi prova a entrare

Gli accessi falliti sono l'evento 4625 nel registro Sicurezza. Questo mostra il nome dell'account e l'indirizzo di ogni tentativo:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Prima della lista di IP aspettati un flusso continuo di Administrator, admin, user da indirizzi sconosciuti. Dopo, la lista dovrebbe tacere.

Cosa non vale la pena fare

• Cambiare la porta di RDP. Su un piano con IPv4 propria riduce solo il rumore nei log; gli scanner trovano presto la nuova porta. Su un piano NAT rompe l'accesso, perché l'inoltro va alla 3389.
• Spegnere il firewall «per farlo funzionare». Se RDP smette di rispondere dopo una modifica a una regola, correggi la regola dalla console nel browser.

Tienilo aggiornato

Gli incidenti RDP più gravi sono venuti da falle del protocollo, non da password. Windows Server 2022 riceve aggiornamenti di sicurezza fino al 14 ottobre 2031, quindi lascia attivo Windows Update e riavvia quando lo chiede.

L'immagine è Windows Server 2022 con la tua licenza (come funziona il BYOL). I piani partono da Windows-Small: 4 vCPU, 4 GB di RAM, 50 GB, $11/mese con NAT. Con IPv4 propria, Windows Small-IP costa $28/mese. Tutti e quattro i piani sono nella pagina Windows VPS. Per avere SSH accanto a RDP, vedi OpenSSH su Windows Server.