Windows VPS'te RDP nasıl korunur: NLA, hesap kilitleme ve IP izin listesi

Tüm internete yanıt veren bir RDP portu, sunucu açıldıktan birkaç dakika sonra parola denemeleri almaya başlar. Uzun bir parola dayanır, ama her deneme yine de bir oturum açma girişimidir, olay günlüğünü doldurur ve bir sonraki RDP açığına konuşacak birini verir. Beş adım bunu çözer. Her biri bir PowerShell komutudur ve hepsini yayından önce Windows Server 2022 imajımızda çalıştırdık.

RDP üzerinden PowerShell'i yönetici olarak açın (nasıl bağlanılır) ve sırayla ilerleyin. 4. adımı en sona bırakın: sizi dışarıda bırakabilecek tek adım odur.

1. Uzun ve benzersiz bir parola

Hâlâ ilk girişteki parolayı kullanıyorsanız panelden uzun bir parolayla değiştirin (20+ karakter, bir parola yöneticisinden). Aşağıdaki tüm adımlar parolanın tahmin edilemez olduğunu varsayar.

2. Ağ düzeyinde kimlik doğrulamayı (NLA) açın

NLA ile Windows, oturum oluşturup giriş ekranını çizmeden önce kimlik bilgilerinizi denetler. Kimliği doğrulanmamış bağlantılar masaüstü koduna hiç ulaşmaz; en bilinen RDP açıkları da oradaydı. Mevcut durumu kontrol edin:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1, NLA'nın açık olduğu anlamına gelir. 0 görürseniz açın:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Windows, macOS ve Linux (xfreerdp) için güncel Uzak Masaüstü istemcileri NLA'yı destekler. Bir sonraki bağlantı, uzak ekran görünmeden önce parolayı sorar.

3. Başarısız denemelerden sonra hesapları kilitleyin

Varsayılan bir Windows Server 2022 kurulumu, ne kadar yanlış parola gelirse gelsin hiçbir hesabı kilitlemez. 24 Ekim 2026'dan itibaren imajımızdan kurulan sunucularda aşağıdaki sınır zaten ayarlıdır; daha eski sunucularda siz ayarlayın:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

15 dakika içinde beş yanlış parola hesabı 15 dakika kilitler. Test ettik: beş başarısız denemeden sonra hem normal bir kullanıcı hem de yerleşik Administrator kilitlendi. Kilit kendiliğinden kalkar; yani yazım hatalarıyla dolu bir sabah size sunucuya değil, çeyrek saate mal olur.

4. RDP'ye yalnızca kendi IP adresinizden izin verin

Bu adım gürültünün neredeyse tamamını yok eder. Windows Güvenlik Duvarı kuralları uzak adres listesi kabul eder; kendinizinkini yazın. Güncel genel IP'nizi herhangi bir "IP adresim ne" sayfasında görün, ardından:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Bu komut yalnızca yerleşik "Uzak Masaüstü" grubunu değil, 3389 portundaki her gelen kuralı bulur. Bu önemlidir: 24 Ekim 2026'dan önce imajımızdan kurulan sunucularda portu herkese açan "EQVPS RDP 3389" adlı ek bir kural vardır ve başka yazılımlar da kendi kurallarını ekleyebilir. Yalnızca yerleşik grubu kısıtlarsanız böyle bir kural portu açık tutar. Test sırasında tam olarak bu hatayı biz de yaptık. Sonucu kontrol edin:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Her satırda sizin adresiniz görünmelidir. Testimizde başka herhangi bir adresten gelen bağlantı yanıtsız kaldı, izin verilen ise geçti.

NAT planında da aynı şekilde çalışır. Kişisel portunuzdan yapılan yönlendirme gerçek adresinizi korur; kendi genel IP'nize izin verin.

IP'niz değişirse RDP size de yanıt vermez. Panelden tarayıcı konsolunu açın (RDP'den ve güvenlik duvarından geçmez), oturum açın ve komutu yeni adresle çalıştırın. İzin listesini tamamen kaldırmak için -RemoteAddress Any kullanın.

5. Kimin girmeye çalıştığını görün

Başarısız oturum açmalar, Güvenlik günlüğündeki 4625 numaralı olaydır. Bu komut her denemenin hesap adını ve adresini gösterir:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

İzin listesinden önce bilinmeyen adreslerden sürekli bir Administrator, admin, user akışı bekleyin. Sonrasında liste sessizleşmelidir.

Uğraşmaya değmeyenler

• RDP portunu değiştirmek. Kendi IPv4'ü olan planda yalnızca günlük gürültüsünü azaltır; tarayıcılar yeni portu hızla bulur. NAT planında erişiminizi bozar, çünkü yönlendirme 3389'a gider.
• "Çalışsın diye" güvenlik duvarını kapatmak. Bir kural değişikliğinden sonra RDP yanıt vermiyorsa kuralı tarayıcı konsolundan düzeltin.

Güncel tutun

En ciddi RDP olayları parolalardan değil, protokol hatalarından kaynaklandı. Windows Server 2022, 14 Ekim 2031'e kadar güvenlik güncellemesi alır; Windows Update'i açık bırakın ve istediğinde yeniden başlatın.

İmaj, kendi lisansınızla Windows Server 2022'dir (BYOL nasıl çalışır). Planlar Windows-Small ile başlar: 4 vCPU, 4 GB RAM, 50 GB, NAT ile $11/ay. Kendi IPv4'üyle Windows Small-IP $28/ay'dır. Dört planın tamamı Windows VPS sayfasında. RDP'nin yanında SSH için Windows Server'da OpenSSH yazısına bakın.