RDP beveiligen op een Windows VPS: NLA, accountvergrendeling en een IP-toestaanlijst

Een RDP-poort die het hele internet antwoordt, krijgt binnen minuten na het opstarten van de server de eerste wachtwoordpogingen. Een lang wachtwoord houdt stand, maar elke poging blijft een inlogpoging, vult het gebeurtenislogboek en geeft de volgende RDP-fout iemand om mee te praten. Vijf stappen lossen dat op. Elke stap is een PowerShell-commando, en we hebben ze allemaal vóór publicatie uitgevoerd op ons Windows Server 2022-image.

Open PowerShell als administrator via RDP (zo maak je verbinding) en werk op volgorde. Doe stap 4 als laatste: alleen die kan je buitensluiten.

1. Een lang, uniek wachtwoord

Gebruik je nog het wachtwoord van de eerste login, wijzig het dan in het dashboard in een lang wachtwoord (20+ tekens, uit een wachtwoordmanager). Alle stappen hieronder gaan ervan uit dat het wachtwoord zelf niet te raden is.

2. Zet verificatie op netwerkniveau (NLA) aan

Met NLA controleert Windows je inloggegevens voordat het een sessie aanmaakt en een inlogscherm tekent. Niet-geverifieerde verbindingen bereiken de bureaubladcode nooit, en daar zaten de bekendste RDP-fouten. Controleer de huidige stand:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 betekent dat NLA aanstaat. Zie je 0, zet het dan aan:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Huidige Extern bureaublad-clients voor Windows, macOS en Linux (xfreerdp) ondersteunen NLA. Je volgende verbinding vraagt het wachtwoord voordat het externe scherm verschijnt.

3. Vergrendel accounts na mislukte pogingen

Een standaardinstallatie van Windows Server 2022 vergrendelt nooit een account, hoeveel foute wachtwoorden er ook binnenkomen. Op servers die sinds 24 oktober 2026 vanaf ons image zijn geïnstalleerd, staat de grens hieronder al ingesteld; op oudere stel je hem zelf in:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Vijf foute wachtwoorden binnen 15 minuten vergrendelen het account 15 minuten. We hebben het getest: na vijf mislukte pogingen waren zowel een gewone gebruiker als de ingebouwde Administrator vergrendeld. De vergrendeling heft zichzelf op, dus een ochtend vol typfouten kost je een kwartier, niet de server.

4. Sta RDP alleen toe vanaf jouw IP-adres

Deze stap haalt bijna alle ruis weg. Regels van Windows Firewall accepteren een lijst externe adressen; zet daar het jouwe in. Je huidige publieke IP zie je op elke 'wat is mijn IP'-pagina, daarna:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Dat commando vindt elke inkomende regel op poort 3389, niet alleen de ingebouwde groep 'Extern bureaublad'. Dat is belangrijk: servers die vóór 24 oktober 2026 vanaf ons image zijn geïnstalleerd, hebben een extra regel met de naam 'EQVPS RDP 3389' die de poort voor iedereen opent, en andere software kan eigen regels toevoegen. Beperk je alleen de ingebouwde groep, dan houdt zo'n regel de poort open. Precies die fout maakten we zelf tijdens het testen. Controleer het resultaat:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Elke regel moet jouw adres tonen. In onze test liep een verbinding vanaf elk ander adres dood, en kwam de toegestane erdoor.

Op een NAT-pakket werkt dit hetzelfde. De doorsturing vanaf je persoonlijke poort behoudt je echte adres, dus sta je eigen publieke IP toe.

Verandert je IP, dan antwoordt RDP ook jou niet meer. Open de browserconsole vanuit het dashboard (die loopt niet via RDP of de firewall), log in en voer het commando uit met het nieuwe adres. Om de toestaanlijst helemaal op te heffen, gebruik je -RemoteAddress Any.

5. Zie wie probeert binnen te komen

Mislukte aanmeldingen zijn gebeurtenis 4625 in het beveiligingslogboek. Dit toont de accountnaam en het adres van elke poging:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Vóór de toestaanlijst zie je een constante stroom Administrator, admin, user vanaf onbekende adressen. Daarna hoort de lijst stil te worden.

Waar je je niet druk om hoeft te maken

• De RDP-poort wijzigen. Op een pakket met eigen IPv4 vermindert het alleen de logruis; scanners vinden de nieuwe poort snel. Op een NAT-pakket breekt het je toegang, omdat de doorsturing naar 3389 gaat.
• De firewall uitzetten 'om het te laten werken'. Antwoordt RDP niet meer na een regelwijziging, herstel de regel dan via de browserconsole.

Houd het bijgewerkt

De ernstigste RDP-incidenten kwamen door protocolfouten, niet door wachtwoorden. Windows Server 2022 krijgt beveiligingsupdates tot 14 oktober 2031, dus laat Windows Update aan en herstart als erom gevraagd wordt.

Het image is Windows Server 2022 met je eigen licentie (zo werkt BYOL). Pakketten beginnen bij Windows-Small: 4 vCPU, 4 GB RAM, 50 GB, $11/maand met NAT. Met eigen IPv4 kost Windows Small-IP $28/maand. Alle vier pakketten staan op de Windows VPS-pagina. Voor SSH naast RDP, zie OpenSSH op Windows Server.