Як захистити RDP на Windows VPS: NLA, блокування та список дозволених IP

Порт RDP, відкритий усьому інтернету, починає отримувати спроби підбору пароля за кілька хвилин після запуску сервера. Довгий пароль витримає, але кожна спроба — це все одно спроба входу, рядок у журналі подій і зайвий співрозмовник для наступної вразливості RDP. Це виправляють п'ять кроків. Кожен — команда PowerShell, і кожну ми виконали на нашому образі Windows Server 2022 перед публікацією.

Відкрийте PowerShell від імені адміністратора через RDP (як підключитися) і йдіть по порядку. Крок 4 робіть останнім: тільки він може закрити доступ вам самим.

1. Довгий унікальний пароль

Якщо у вас досі пароль першого входу, змініть його в кабінеті на довгий (від 20 символів, з менеджера паролів). Усі кроки нижче виходять із того, що сам пароль не підібрати.

2. Увімкніть перевірку автентичності на рівні мережі (NLA)

З NLA Windows перевіряє облікові дані до того, як створити сеанс і намалювати екран входу. Непідтверджені підключення не доходять до коду робочого столу, а саме там жили найвідоміші помилки RDP. Перевірте поточний стан:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 означає, що NLA увімкнено. Якщо бачите 0, увімкніть:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Сучасні клієнти віддаленого робочого столу для Windows, macOS і Linux (xfreerdp) підтримують NLA. Під час наступного підключення пароль запитають до появи віддаленого екрана.

3. Блокуйте обліковий запис після невдалих спроб

Стандартна установка Windows Server 2022 не блокує обліковий запис ніколи, скільки б неправильних паролів не надійшло. На серверах, встановлених з нашого образу з 24 жовтня 2026 року, межу нижче вже задано; на старіших задайте її:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

П'ять неправильних паролів за 15 хвилин блокують обліковий запис на 15 хвилин. Ми перевірили: після п'яти невдалих спроб були заблоковані і звичайний користувач, і вбудований Administrator. Блокування знімається саме, тож ранок з одруківками коштуватиме вам чверть години, а не сервер.

4. Дозвольте RDP тільки зі свого IP

Цей крок прибирає майже весь шум. Правила брандмауера Windows приймають список віддалених адрес — вкажіть свою. Дізнайтеся поточний публічний IP на будь-якій сторінці «мій IP», потім:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Команда знаходить усі вхідні правила на порт 3389, а не тільки вбудовану групу «Віддалений робочий стіл». Це важливо: на серверах, встановлених з нашого образу до 24 жовтня 2026 року, є додаткове правило «EQVPS RDP 3389», яке відкриває порт для всіх, а власні правила може додати й інше ПЗ. Якщо обмежити лише вбудовану групу, таке правило залишить порт відкритим. Саме цю помилку ми самі зробили під час перевірки. Перевірте результат:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

У кожному рядку має стояти ваша адреса. У нашій перевірці підключення з будь-якої іншої адреси не проходило, а з дозволеної — проходило.

На тарифі з NAT усе працює так само. Прокид із вашого персонального порту зберігає вашу справжню адресу, тож дозволяйте свій публічний IP.

Якщо ваш IP змінився, RDP перестане відповідати і вам. Відкрийте консоль у браузері з кабінету (вона не йде через RDP і брандмауер), увійдіть і виконайте команду з новою адресою. Щоб повністю скасувати обмеження, використайте -RemoteAddress Any.

5. Дивіться, хто намагається увійти

Невдалі входи — це подія 4625 у журналі безпеки. Ця команда показує ім'я облікового запису й адресу, з якої прийшла кожна спроба:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

До обмеження за IP чекайте постійного потоку Administrator, admin, user з незнайомих адрес. Після — список має затихнути.

На що не витрачати час

• Зміна порту RDP. На тарифі з власним IPv4 вона лише зменшує шум у журналі, новий порт сканери знаходять швидко. На тарифі з NAT вона ламає доступ, бо прокид іде на 3389.
• Вимкнути брандмауер, «щоб запрацювало». Якщо після зміни правила RDP перестав відповідати, виправте правило через консоль у браузері.

Оновлення

Найсерйозніші інциденти з RDP траплялися через помилки протоколу, а не паролі. Windows Server 2022 отримує оновлення безпеки до 14 жовтня 2031 року, тож не вимикайте Windows Update і перезавантажуйтеся, коли він просить.

Образ — Windows Server 2022 з вашою ліцензією (як влаштовано BYOL). Тарифи починаються з Windows-Small: 4 vCPU, 4 ГБ пам'яті, 50 ГБ, $11/міс з NAT. З власним IPv4 — Windows Small-IP за $28/міс. Усі чотири тарифи — на сторінці Windows VPS. Якщо поруч з RDP потрібен SSH, див. OpenSSH на Windows Server.