Como proteger o RDP num VPS Windows: NLA, bloqueio de conta e lista de IPs permitidos

Uma porta RDP que responde à internet inteira recebe tentativas de senha poucos minutos depois de o servidor subir. Uma senha longa aguenta, mas cada tentativa ainda é um login, enche o log de eventos e dá à próxima falha do RDP alguém com quem conversar. Cinco passos resolvem isso. Cada um é um comando PowerShell, e todos foram executados na nossa imagem de Windows Server 2022 antes de publicar.

Abra o PowerShell como administrador via RDP (como se conectar) e siga a ordem. Deixe o passo 4 por último: é o único que pode trancar você do lado de fora.

1. Use uma senha longa e única

Se você ainda usa a senha do primeiro login, troque no painel por uma longa (20+ caracteres, de um gerenciador de senhas). Todos os passos abaixo partem do princípio de que a senha em si não dá para adivinhar.

2. Ative a autenticação no nível da rede (NLA)

Com NLA, o Windows verifica suas credenciais antes de criar uma sessão e desenhar a tela de login. Conexões não autenticadas nunca chegam ao código da área de trabalho, onde estavam as falhas de RDP mais conhecidas. Verifique o estado atual:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 significa que a NLA está ativa. Se aparecer 0, ative:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Os clientes de Área de Trabalho Remota atuais para Windows, macOS e Linux (xfreerdp) suportam NLA. A próxima conexão pedirá a senha antes de mostrar a tela remota.

3. Bloqueie contas depois de tentativas falhas

Uma instalação padrão do Windows Server 2022 nunca bloqueia uma conta, não importa quantas senhas erradas cheguem. Nos servidores instalados a partir da nossa imagem desde 24 de outubro de 2026, o limite abaixo já vem definido; nos mais antigos, defina-o:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Cinco senhas erradas em 15 minutos bloqueiam a conta por 15 minutos. Testamos: depois de cinco tentativas falhas, tanto um usuário comum quanto o Administrator integrado ficaram bloqueados. O bloqueio sai sozinho, então uma manhã de erros de digitação custa um quarto de hora, não o servidor.

4. Permita o RDP só a partir do seu IP

Este passo elimina quase todo o ruído. As regras do Firewall do Windows aceitam uma lista de endereços remotos; coloque o seu. Veja seu IP público atual em qualquer página de «qual é meu IP» e então:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Esse comando encontra todas as regras de entrada na porta 3389, não só o grupo integrado «Área de Trabalho Remota». Isso importa: os servidores instalados a partir da nossa imagem antes de 24 de outubro de 2026 têm uma regra extra chamada «EQVPS RDP 3389» que abre a porta para todos, e outros programas podem adicionar as suas. Se você restringir só o grupo integrado, uma regra assim mantém a porta aberta. Cometemos exatamente esse erro ao testar. Confira o resultado:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Cada linha deve mostrar o seu endereço. No nosso teste, uma conexão de qualquer outro endereço ficava sem resposta, e a permitida passava.

Num plano NAT funciona igual. O redirecionamento a partir da sua porta pessoal mantém o seu endereço real, então libere o seu próprio IP público.

Se o seu IP mudar, o RDP para de responder também a você. Abra o console no navegador pelo painel (ele não passa pelo RDP nem pelo firewall), entre e rode o comando com o novo endereço. Para desfazer a lista por completo, use -RemoteAddress Any.

5. Veja quem está tentando entrar

Logins com falha são o evento 4625 no log de Segurança. Isto mostra o nome da conta e o endereço de cada tentativa:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Antes da lista de IPs, espere um fluxo constante de Administrator, admin, user vindo de endereços desconhecidos. Depois, a lista deve silenciar.

O que não vale a pena

• Mudar a porta do RDP. Num plano com IPv4 próprio, só reduz o ruído do log; os scanners acham a nova porta rápido. Num plano NAT, quebra o seu acesso, porque o redirecionamento vai para a 3389.
• Desligar o firewall «para funcionar». Se o RDP parar de responder depois de mudar uma regra, corrija a regra pelo console do navegador.

Mantenha atualizado

Os incidentes de RDP mais graves vieram de falhas do protocolo, não de senhas. O Windows Server 2022 recebe atualizações de segurança até 14 de outubro de 2031, então deixe o Windows Update ligado e reinicie quando ele pedir.

A imagem é Windows Server 2022 com a sua própria licença (como funciona o BYOL). Os planos começam no Windows-Small: 4 vCPU, 4 GB de RAM, 50 GB, $11/mês com NAT. Com IPv4 próprio, o Windows Small-IP custa $28/mês. Os quatro planos estão na página Windows VPS. Para ter SSH ao lado do RDP, veja OpenSSH no Windows Server.