Je, kubadilisha mlango wa RDP kunatosha?

Hapana. Mlango mwingine hupunguza kelele kwenye kumbukumbu, lakini kichanganuzi chochote huupata ndani ya saa chache. Kwenye mpango wa NAT usiubadilishe kabisa: mlango wako binafsi wa nje unaelekezwa kwenye 3389 ndani ya seva, na kuhamisha RDP kunavunja uelekezaji huo. Orodha ya IP zinazoruhusiwa hufanya kwa kweli kile ambacho kubadilisha mlango hujifanya kufanya.

Je, orodha ya IP zinazoruhusiwa inafanya kazi kwenye mpango wa NAT?

Ndiyo. Uelekezaji kwenda seva yako huhifadhi anwani halisi ya chanzo cha muunganisho, kwa hiyo Windows Firewall huona IP yako ya umma na inaweza kuilinganisha. Ruhusu anwani hiyo, si ya seva.

Itakuwaje IP ya nyumbani ikibadilika na nikajifungia nje?

Fungua dashibodi ya kivinjari kutoka kwenye dashibodi yako. Inaunganisha moja kwa moja na skrini ya seva, si kupitia RDP, kwa hiyo ngome haiizuii. Ingia hapo na uweke anwani mpya kwa amri ileile ya Set-NetFirewallRule.

Je, boti inaweza kufunga akaunti yangu ya Administrator?

Ikiwa kuna sera ya kufunga, ndiyo, kwa dakika 15 kila mara: kwenye matoleo ya sasa ya Windows Server 2022, Administrator iliyojengewa ndani hufungwa kama akaunti nyingine yoyote (tulikagua). Ndiyo maana orodha ya IP ni muhimu: boti zisizoweza kufikia mlango 3389 haziwezi kusababisha kufungwa.

Je, bado nahitaji masasisho ya Windows ikiwa RDP imefungwa?

Ndiyo. Mashambulizi mengi makubwa ya RDP yalitumia hitilafu katika itifaki yenyewe, si manenosiri. Windows Server 2022 inaendelea kupata masasisho ya usalama hadi tarehe 14 Oktoba 2031, kwa hiyo acha Windows Update ikiwa imewashwa.

Kulinda RDP kwenye VPS ya Windows (Server 2022)

Hatua tano za PowerShell zinazobadilisha VPS ya Windows Server 2022 kutoka 'RDP iko wazi kwa kila mtu' hadi 'RDP inakujibu wewe tu': Network Level Authentication, kufunga akaunti, orodha ya anwani zinazoruhusiwa inayofunika kila kanuni ya 3389, na njia ya kuona nani anajaribu kuingia.

Mlango wa RDP unaojibu intaneti nzima huanza kupokea makisio ya nenosiri dakika chache baada ya seva kuwashwa. Nenosiri refu peke yake linastahimili, lakini kila kisio bado ni jaribio la kuingia, hujaza kumbukumbu ya matukio na huipa hitilafu inayofuata ya RDP kitu cha kuzungumza nacho. Hatua tano zinarekebisha hilo. Kila moja ni amri ya PowerShell, na kila moja tuliiendesha kwenye picha yetu ya Windows Server 2022 kabla ya kuchapisha.

Fungua PowerShell kama Administrator kupitia RDP (jinsi ya kuunganisha) na ufuate mpangilio. Fanya hatua ya 4 mwisho: ndiyo pekee inayoweza kukufungia nje.

1. Tumia nenosiri refu na la kipekee

Ikiwa bado unatumia nenosiri la kuingia mara ya kwanza, libadilishe kwenye dashibodi kuwa refu (herufi 20+, kutoka kwa kidhibiti cha manenosiri). Kila hatua hapa chini inadhani nenosiri lenyewe haliwezi kukisiwa.

2. Washa Network Level Authentication (NLA)

Ukiwa na NLA, Windows hukagua vitambulisho vyako kabla ya kuunda kipindi na kuchora skrini ya kuingia. Miunganisho isiyothibitishwa haifikii kamwe msimbo wa eneo-kazi, ambako hitilafu nyingi za kihistoria za RDP zilikuwa. Kagua hali ya sasa:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 inamaanisha NLA imewashwa. Ukiona 0, iwashe:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Programu za sasa za Remote Desktop kwenye Windows, macOS na Linux (xfreerdp) zote zinaunga mkono NLA. Muunganisho wako unaofuata utaomba nenosiri kabla skrini ya mbali haijaonekana.

3. Funga akaunti baada ya majaribio yaliyoshindwa

Usakinishaji wa kawaida wa Windows Server 2022 haufungi akaunti kamwe, hata manenosiri mangapi yasiyo sahihi yafike. Kwenye seva zilizosakinishwa kutoka picha yetu tangu tarehe 24 Oktoba 2026, kikomo kilicho hapa chini tayari kimewekwa; kwenye seva za zamani zaidi, kiweke mwenyewe:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Manenosiri matano yasiyo sahihi ndani ya dakika 15 hufunga akaunti kwa dakika 15. Tuliijaribu: baada ya majaribio matano mabaya, mtumiaji wa kawaida na Administrator iliyojengewa ndani wote walifungwa. Kufungwa huondoka chenyewe, kwa hiyo asubuhi yenye makosa mengi ya kuandika inakugharimu robo saa, si seva.

4. Ruhusu RDP kutoka anwani yako ya IP pekee

Hatua hii huondoa karibu kelele yote. Kanuni za Windows Firewall hukubali orodha ya anwani za mbali; iweke kuwa yako. Tafuta IP yako ya umma ya sasa kwenye ukurasa wowote wa "IP yangu ni ipi", kisha:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Amri hiyo hupata kila kanuni ya kuingia kwenye mlango 3389, si kikundi cha "Remote Desktop" kilichojengewa ndani pekee. Hili ni muhimu: seva zilizosakinishwa kutoka picha yetu kabla ya tarehe 24 Oktoba 2026 zina kanuni ya ziada inayoitwa "EQVPS RDP 3389" inayofungua mlango kwa kila mtu, na programu nyingine zinaweza kuongeza kanuni zao. Ukibana kikundi kilichojengewa ndani pekee, kanuni ya aina hiyo huacha mlango wazi. Tulifanya kosa hilo hasa wakati wa majaribio. Kagua matokeo:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Kila mstari unapaswa kuonyesha anwani yako. Katika jaribio letu, muunganisho kutoka anwani nyingine yoyote haukupata jibu, na ule ulioruhusiwa ulipita.

Kwenye mpango wa NAT inafanya kazi vivyo hivyo. Uelekezaji kutoka mlango wako binafsi huhifadhi anwani yako halisi, kwa hiyo ruhusu IP yako ya umma.

IP yako ikibadilika, RDP huacha kukujibu wewe pia. Fungua dashibodi ya kivinjari kutoka kwenye dashibodi (haipiti kupitia RDP wala ngome), ingia, na uendeshe amri kwa anwani mpya. Ili kuondoa orodha kabisa, tumia -RemoteAddress Any.

5. Ona nani anajaribu kuingia

Kuingia kulikoshindwa ni tukio 4625 katika kumbukumbu ya Security. Amri hii inaonyesha jina la akaunti na anwani ambayo kila jaribio lilitoka:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Kabla ya orodha ya IP, tarajia mfululizo usiokoma wa Administrator, admin, user kutoka anwani usizozijua. Baada yake, orodha inapaswa kunyamaza.

Usipoteze muda kwa haya

Kubadilisha mlango wa RDP. Kwenye mpango wenye IPv4 yake hupunguza tu kelele ya kumbukumbu; vichanganuzi hupata mlango mpya haraka. Kwenye mpango wa NAT kunavunja ufikiaji wako, kwa sababu uelekezaji unaenda kwenye 3389.
Kuzima ngome "ili ifanye kazi". RDP ikiacha kujibu baada ya kubadilisha kanuni, rekebisha kanuni kutoka kwenye dashibodi ya kivinjari.

Iweke ikiwa imesasishwa

Matukio mengi makubwa ya RDP yalitokana na hitilafu za itifaki, si manenosiri. Windows Server 2022 inapokea masasisho ya usalama hadi tarehe 14 Oktoba 2031, kwa hiyo acha Windows Update ikiwa imewashwa na uwashe upya inapoomba.

Picha ni Windows Server 2022 yenye leseni yako mwenyewe (jinsi BYOL inavyofanya kazi). Mipango inaanzia Windows-Small: vCPU 4, GB 4 za RAM, GB 50, $11 kwa mwezi kwenye NAT. Ikiwa na IPv4 yake, Windows Small-IP ni $28 kwa mwezi. Mipango yote minne iko kwenye ukurasa wa VPS ya Windows. Kwa SSH pamoja na RDP, ona OpenSSH kwenye Windows Server.

Jinsi ya kulinda RDP kwenye VPS ya Windows: NLA, kufunga akaunti na orodha ya IP zinazoruhusiwa