Så skyddar du RDP på en Windows-VPS: NLA, kontospärr och en lista med tillåtna IP

En RDP-port som svarar hela internet får lösenordsförsök inom några minuter efter att servern startat. Ett långt lösenord håller, men varje försök är ändå en inloggning, fyller händelseloggen och ger nästa RDP-bugg någon att prata med. Fem steg löser det. Vart och ett är ett PowerShell-kommando, och alla kördes på vår Windows Server 2022-avbild före publicering.

Öppna PowerShell som administratör via RDP (så ansluter du) och gå i ordning. Gör steg 4 sist: det är det enda som kan låsa ute dig.

1. Ett långt, unikt lösenord

Använder du fortfarande lösenordet från första inloggningen, byt det i panelen till ett långt (20+ tecken, från en lösenordshanterare). Alla steg nedan förutsätter att själva lösenordet inte går att gissa.

2. Slå på autentisering på nätverksnivå (NLA)

Med NLA kontrollerar Windows dina inloggningsuppgifter innan en session skapas och en inloggningsskärm ritas. Oautentiserade anslutningar når aldrig skrivbordskoden, och det var där de mest kända RDP-buggarna fanns. Kontrollera nuläget:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 betyder att NLA är på. Ser du 0, slå på det:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Aktuella klienter för Fjärrskrivbord på Windows, macOS och Linux (xfreerdp) stöder NLA. Nästa anslutning frågar efter lösenordet innan fjärrskärmen visas.

3. Spärra konton efter misslyckade försök

En standardinstallation av Windows Server 2022 spärrar aldrig något konto, hur många felaktiga lösenord som än kommer. På servrar som installerats från vår avbild sedan 24 oktober 2026 är gränsen nedan redan satt; på äldre sätter du den själv:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Fem felaktiga lösenord inom 15 minuter spärrar kontot i 15 minuter. Vi testade: efter fem misslyckade försök var både en vanlig användare och den inbyggda Administrator spärrade. Spärren hävs av sig själv, så en morgon full av stavfel kostar dig en kvart, inte servern.

4. Tillåt RDP bara från din IP-adress

Det här steget tar bort nästan allt brus. Regler i Windows-brandväggen tar en lista med fjärradresser; ange din. Se din aktuella publika IP på valfri ”vad är min IP”-sida, sedan:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Kommandot hittar varje inkommande regel på port 3389, inte bara den inbyggda gruppen ”Fjärrskrivbord”. Det spelar roll: servrar som installerats från vår avbild före 24 oktober 2026 har en extra regel som heter ”EQVPS RDP 3389” och öppnar porten för alla, och annan programvara kan lägga till egna. Begränsar du bara den inbyggda gruppen håller en sådan regel porten öppen. Exakt det misstaget gjorde vi själva under testet. Kontrollera resultatet:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Varje rad ska visa din adress. I vårt test fick en anslutning från någon annan adress inget svar, och den tillåtna kom igenom.

På en NAT-plan fungerar det likadant. Vidarebefordran från din personliga port behåller din verkliga adress, så tillåt din egen publika IP.

Byts din IP slutar RDP svara även dig. Öppna webbläsarkonsolen från panelen (den går inte via RDP eller brandväggen), logga in och kör kommandot med den nya adressen. För att ta bort listan helt använder du -RemoteAddress Any.

5. Se vem som försöker komma in

Misslyckade inloggningar är händelse 4625 i säkerhetsloggen. Detta visar kontonamnet och adressen för varje försök:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Före tillåtelselistan kan du vänta dig en stadig ström av Administrator, admin, user från okända adresser. Efteråt bör listan tystna.

Inte värt besväret

• Byta RDP-port. På en plan med egen IPv4 minskar det bara loggbruset; skannrar hittar den nya porten snabbt. På en NAT-plan bryter det din åtkomst, eftersom vidarebefordran går till 3389.
• Stänga av brandväggen ”så att det fungerar”. Slutar RDP svara efter en regeländring, rätta regeln via webbläsarkonsolen.

Håll det uppdaterat

De allvarligaste RDP-incidenterna kom från protokollfel, inte lösenord. Windows Server 2022 får säkerhetsuppdateringar till 14 oktober 2031, så låt Windows Update vara på och starta om när det ber om det.

Avbilden är Windows Server 2022 med din egen licens (så fungerar BYOL). Planerna börjar på Windows-Small: 4 vCPU, 4 GB RAM, 50 GB, $11/mån med NAT. Med egen IPv4 kostar Windows Small-IP $28/mån. Alla fyra planerna finns på Windows VPS-sidan. För SSH bredvid RDP, se OpenSSH på Windows Server.