RDP პორტი, რომელიც მთელ ინტერნეტს პასუხობს, სერვერის ჩართვიდან რამდენიმე წუთში იწყებს პაროლის გამოცნობის მცდელობების მიღებას. გრძელი პაროლი გაუძლებს, მაგრამ ყოველი მცდელობა მაინც შესვლის მცდელობაა, მოვლენების ჟურნალს ავსებს და RDP-ის შემდეგ შეცდომას თანამოსაუბრეს აძლევს. ამას ხუთი ნაბიჯი ასწორებს. თითოეული PowerShell-ის ბრძანებაა და ყველა გამოქვეყნებამდე ჩვენს Windows Server 2022 იმიჯზე გავუშვით.
გახსენით PowerShell ადმინისტრატორის სახელით RDP-ით (როგორ დავუკავშირდეთ) და იმოქმედეთ თანმიმდევრობით. მე-4 ნაბიჯი ბოლოს გააკეთეთ: მხოლოდ მას შეუძლია თქვენი გარეთ დატოვება.
1. გრძელი, უნიკალური პაროლი
თუ ჯერ კიდევ პირველი შესვლის პაროლს იყენებთ, პანელში შეცვალეთ გრძელით (20+ სიმბოლო, პაროლების მენეჯერიდან). ქვემოთ ყველა ნაბიჯი გულისხმობს, რომ თავად პაროლის გამოცნობა შეუძლებელია.
2. ჩართეთ ქსელის დონის ავთენტიფიკაცია (NLA)
NLA-ით Windows თქვენს მონაცემებს მანამდე ამოწმებს, სანამ სესიას შექმნის და შესვლის ეკრანს დახატავს. არაავთენტიფიცირებული კავშირები სამუშაო მაგიდის კოდამდე ვერასდროს აღწევენ, სწორედ იქ კი იყო RDP-ის ყველაზე ცნობილი შეცდომები. შეამოწმეთ მიმდინარე მდგომარეობა:
(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired
1 ნიშნავს, რომ NLA ჩართულია. თუ ხედავთ 0-ს, ჩართეთ:
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
Windows-ის, macOS-ისა და Linux-ის (xfreerdp) დისტანციური სამუშაო მაგიდის თანამედროვე კლიენტები NLA-ს მხარს უჭერენ. შემდეგი კავშირი პაროლს დისტანციური ეკრანის გამოჩენამდე მოითხოვს.
3. დაბლოკეთ ანგარიშები წარუმატებელი მცდელობების შემდეგ
Windows Server 2022-ის სტანდარტული ინსტალაცია ანგარიშს არასდროს ბლოკავს, რამდენი არასწორი პაროლიც არ უნდა მოვიდეს. ჩვენი იმიჯიდან 2026 წლის 24 ოქტომბრიდან დაყენებულ სერვერებზე ქვემოთ მოცემული ზღვარი უკვე დაწესებულია; უფრო ძველებზე დააწესეთ თავად:
net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts
15 წუთში ხუთი არასწორი პაროლი ანგარიშს 15 წუთით ბლოკავს. შევამოწმეთ: ხუთი წარუმატებელი მცდელობის შემდეგ დაიბლოკა როგორც ჩვეულებრივი მომხმარებელი, ისე ჩაშენებული Administrator. დაბლოკვა თავისით იხსნება, ამიტომ შეცდომებით სავსე დილა მეოთხედი საათი დაგიჯდებათ და არა სერვერი.
4. დაუშვით RDP მხოლოდ თქვენი IP მისამართიდან
ეს ნაბიჯი თითქმის მთელ ხმაურს აქრობს. Windows-ის ფაიერვოლის წესები დისტანციური მისამართების სიას იღებს; ჩაწერეთ თქვენი. მიმდინარე საჯარო IP ნებისმიერ გვერდზე „რა არის ჩემი IP“ ნახეთ, შემდეგ:
$myIp = '203.0.113.10' # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp
ბრძანება პოულობს 3389 პორტის ყველა შემომავალ წესს და არა მხოლოდ ჩაშენებულ ჯგუფს „Remote Desktop“. ეს მნიშვნელოვანია: ჩვენი იმიჯიდან 2026 წლის 24 ოქტომბრამდე დაყენებულ სერვერებს აქვთ დამატებითი წესი სახელით „EQVPS RDP 3389“, რომელიც პორტს ყველასთვის ხსნის, ხოლო სხვა პროგრამებსაც შეუძლიათ საკუთარი წესების დამატება. თუ მხოლოდ ჩაშენებულ ჯგუფს შეზღუდავთ, ასეთი წესი პორტს ღიად დატოვებს. ზუსტად ეს შეცდომა დავუშვით ჩვენც ტესტირებისას. შეამოწმეთ შედეგი:
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}
ყველა სტრიქონში თქვენი მისამართი უნდა ჩანდეს. ჩვენს ტესტში ნებისმიერი სხვა მისამართიდან კავშირი პასუხს ვერ იღებდა, დაშვებულიდან კი გადიოდა.
NAT გეგმაზე ყველაფერი ასევე მუშაობს. თქვენი პირადი პორტიდან გადამისამართება თქვენს რეალურ მისამართს ინარჩუნებს, ამიტომ დაუშვით თქვენი საკუთარი საჯარო IP.
თუ თქვენი IP შეიცვალა, RDP თქვენც აღარ გიპასუხებთ. გახსენით ბრაუზერის კონსოლი პანელიდან (ის არ გადის RDP-სა და ფაიერვოლზე), შედით და გაუშვით ბრძანება ახალი მისამართით. სიის სრულად მოსახსნელად გამოიყენეთ -RemoteAddress Any.
5. ნახეთ, ვინ ცდილობს შესვლას
წარუმატებელი შესვლები უსაფრთხოების ჟურნალში 4625 მოვლენაა. ეს ბრძანება აჩვენებს ანგარიშის სახელს და თითოეული მცდელობის მისამართს:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}
დაშვებული IP-ების სიამდე მოელით Administrator, admin, user-ის მუდმივ ნაკადს უცნობი მისამართებიდან. შემდეგ სია უნდა დაწყნარდეს.
რაზე არ ღირს დროის დახარჯვა
- RDP პორტის შეცვლა. საკუთარი IPv4-ის მქონე გეგმაზე ის მხოლოდ ჟურნალის ხმაურს ამცირებს; სკანერები ახალ პორტს სწრაფად პოულობენ. NAT გეგმაზე ის თქვენს წვდომას შლის, რადგან გადამისამართება 3389-ზე მიდის.
- ფაიერვოლის გამორთვა, „რომ იმუშაოს“. თუ წესის შეცვლის შემდეგ RDP აღარ პასუხობს, წესი ბრაუზერის კონსოლიდან გაასწორეთ.
განახლებები
RDP-ის ყველაზე სერიოზული ინციდენტები პროტოკოლის შეცდომებიდან მოდიოდა და არა პაროლებიდან. Windows Server 2022 უსაფრთხოების განახლებებს 2031 წლის 14 ოქტომბრამდე იღებს, ამიტომ Windows Update ჩართული დატოვეთ და გადატვირთეთ, როცა მოითხოვს.
იმიჯი არის Windows Server 2022 თქვენი საკუთარი ლიცენზიით (როგორ მუშაობს BYOL). გეგმები იწყება Windows-Small-ით: 4 vCPU, 4 GB RAM, 50 GB, $11/თვე NAT-ით. საკუთარი IPv4-ით Windows Small-IP ღირს $28/თვე. ოთხივე გეგმა არის Windows VPS-ის გვერდზე. RDP-ის გვერდით SSH-ისთვის იხილეთ OpenSSH Windows Server-ზე.
კომენტარები
ჯერ არ არის კომენტარები. იყავით პირველი.