Cum securizezi RDP pe un VPS Windows: NLA, blocarea contului și o listă de IP-uri permise

Un port RDP care răspunde întregului internet primește încercări de parolă la câteva minute după pornirea serverului. O parolă lungă rezistă, dar fiecare încercare rămâne o autentificare, umple jurnalul de evenimente și îi dă următoarei vulnerabilități RDP cu cine să vorbească. Cinci pași rezolvă asta. Fiecare este o comandă PowerShell și pe toate le-am rulat pe imaginea noastră Windows Server 2022 înainte de publicare.

Deschide PowerShell ca administrator prin RDP (cum te conectezi) și mergi în ordine. Lasă pasul 4 la final: e singurul care te poate lăsa pe dinafară.

1. O parolă lungă și unică

Dacă folosești încă parola de la prima autentificare, schimbă-o din panou cu una lungă (20+ caractere, dintr-un manager de parole). Toți pașii de mai jos presupun că parola însăși nu poate fi ghicită.

2. Activează autentificarea la nivel de rețea (NLA)

Cu NLA, Windows îți verifică datele înainte să creeze o sesiune și să deseneze ecranul de autentificare. Conexiunile neautentificate nu ajung niciodată la codul desktopului, acolo unde erau cele mai cunoscute vulnerabilități RDP. Verifică starea actuală:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 înseamnă că NLA este activă. Dacă vezi 0, activeaz-o:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Clienții actuali de Desktop la distanță pentru Windows, macOS și Linux (xfreerdp) suportă NLA. Următoarea conexiune va cere parola înainte să apară ecranul de la distanță.

3. Blochează conturile după încercări eșuate

O instalare implicită de Windows Server 2022 nu blochează niciodată un cont, oricâte parole greșite ar veni. Pe serverele instalate din imaginea noastră începând cu 24 octombrie 2026, limita de mai jos e deja setată; pe cele mai vechi, pune-o tu:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Cinci parole greșite în 15 minute blochează contul pentru 15 minute. Am testat: după cinci încercări eșuate erau blocați atât un utilizator obișnuit, cât și Administrator integrat. Blocarea dispare singură, așa că o dimineață plină de greșeli de tastare te costă un sfert de oră, nu serverul.

4. Permite RDP doar de pe IP-ul tău

Acest pas elimină aproape tot zgomotul. Regulile Windows Firewall acceptă o listă de adrese la distanță; pune-o pe a ta. Află IP-ul public curent pe orice pagină „care este IP-ul meu”, apoi:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Comanda găsește toate regulile de intrare pe portul 3389, nu doar grupul integrat „Desktop la distanță”. Contează: serverele instalate din imaginea noastră înainte de 24 octombrie 2026 au o regulă în plus numită „EQVPS RDP 3389”, care deschide portul pentru toți, iar alte programe își pot adăuga propriile reguli. Dacă restricționezi doar grupul integrat, o astfel de regulă ține portul deschis. Exact această greșeală am făcut-o și noi la testare. Verifică rezultatul:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Fiecare rând trebuie să arate adresa ta. În testul nostru, o conexiune de pe orice altă adresă rămânea fără răspuns, iar cea permisă trecea.

Pe un plan NAT funcționează la fel. Redirecționarea de pe portul tău personal îți păstrează adresa reală, așa că permite propriul IP public.

Dacă IP-ul tău se schimbă, RDP nu-ți mai răspunde nici ție. Deschide consola din browser din panou (nu trece prin RDP sau firewall), autentifică-te și rulează comanda cu noua adresă. Ca să anulezi complet lista, folosește -RemoteAddress Any.

5. Vezi cine încearcă să intre

Autentificările eșuate sunt evenimentul 4625 din jurnalul Securitate. Comanda aceasta arată numele contului și adresa fiecărei încercări:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Înainte de lista de IP-uri, așteaptă-te la un flux constant de Administrator, admin, user de pe adrese necunoscute. După aceea, lista ar trebui să tacă.

Ce nu merită

• Schimbarea portului RDP. Pe un plan cu IPv4 propriu doar reduce zgomotul din jurnal; scanerele găsesc repede noul port. Pe un plan NAT îți strică accesul, pentru că redirecționarea merge spre 3389.
• Oprirea firewall-ului „ca să meargă”. Dacă RDP nu mai răspunde după modificarea unei reguli, corectează regula din consola din browser.

Ține-l actualizat

Cele mai grave incidente RDP au venit din erori de protocol, nu din parole. Windows Server 2022 primește actualizări de securitate până la 14 octombrie 2031, așa că lasă Windows Update activ și repornește când îți cere.

Imaginea este Windows Server 2022 cu propria ta licență (cum funcționează BYOL). Planurile încep cu Windows-Small: 4 vCPU, 4 GB RAM, 50 GB, $11/lună cu NAT. Cu IPv4 propriu, Windows Small-IP costă $28/lună. Toate cele patru planuri sunt pe pagina Windows VPS. Pentru SSH alături de RDP, vezi OpenSSH pe Windows Server.