Windows VPS پر RDP کو محفوظ کیسے کریں: NLA، اکاؤنٹ لاک آؤٹ اور اجازت یافتہ IP فہرست

پورے انٹرنیٹ کو جواب دینے والا RDP پورٹ سرور چلنے کے چند منٹ بعد ہی پاس ورڈ اندازوں کا نشانہ بننے لگتا ہے۔ لمبا پاس ورڈ ٹک جائے گا، لیکن ہر اندازہ پھر بھی ایک لاگ ان کوشش ہے، ایونٹ لاگ بھرتا ہے اور اگلی RDP خامی کو حملے کا موقع دیتا ہے۔ پانچ قدم اسے درست کرتے ہیں۔ ہر قدم ایک PowerShell کمانڈ ہے، اور سب ہم نے شائع کرنے سے پہلے اپنی Windows Server 2022 امیج پر چلائے۔

RDP سے منتظم کے طور پر PowerShell کھولیں (کنیکٹ کیسے کریں) اور ترتیب سے چلیں۔ قدم 4 آخر میں کریں: صرف یہی آپ کو باہر کر سکتا ہے۔

1. لمبا، منفرد پاس ورڈ

اگر آپ اب بھی پہلے لاگ ان کا پاس ورڈ استعمال کر رہے ہیں تو ڈیش بورڈ میں اسے لمبے پاس ورڈ سے بدلیں (20+ حروف، پاس ورڈ مینیجر سے)۔ نیچے کے تمام قدم یہ مانتے ہیں کہ پاس ورڈ خود اندازے کے قابل نہیں۔

2. نیٹ ورک سطح کی تصدیق (NLA) آن کریں

NLA کے ساتھ Windows سیشن بنانے اور لاگ ان اسکرین دکھانے سے پہلے آپ کی اسناد جانچتا ہے۔ غیر تصدیق شدہ کنکشن کبھی ڈیسک ٹاپ کوڈ تک نہیں پہنچتے، اور سب سے مشہور RDP خامیاں وہیں تھیں۔ موجودہ حالت دیکھیں:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 کا مطلب ہے NLA آن ہے۔ اگر 0 نظر آئے تو اسے آن کریں:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Windows، macOS اور Linux (xfreerdp) کے موجودہ Remote Desktop کلائنٹس NLA کی حمایت کرتے ہیں۔ اگلا کنکشن ریموٹ اسکرین آنے سے پہلے پاس ورڈ پوچھے گا۔

3. ناکام کوششوں کے بعد اکاؤنٹ لاک کریں

Windows Server 2022 کی ڈیفالٹ انسٹالیشن میں کتنے ہی غلط پاس ورڈ آئیں، کوئی اکاؤنٹ کبھی لاک نہیں ہوتا۔ 24 اکتوبر 2026 سے ہماری امیج سے انسٹال کیے گئے سرورز پر نیچے والی حد پہلے سے مقرر ہے؛ پرانے سرورز پر اسے خود مقرر کریں:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

15 منٹ میں پانچ غلط پاس ورڈ اکاؤنٹ کو 15 منٹ کے لیے لاک کر دیتے ہیں۔ ہم نے جانچا: پانچ ناکام کوششوں کے بعد عام صارف اور بلٹ ان Administrator دونوں لاک ہو گئے۔ لاک خود بخود کھل جاتا ہے، اس لیے ٹائپنگ کی غلطیوں والی صبح آپ کا پندرہ منٹ کا نقصان کرتی ہے، سرور کا نہیں۔

4. RDP کی اجازت صرف اپنے IP پتے سے دیں

یہ قدم تقریباً سارا شور ختم کر دیتا ہے۔ Windows فائر وال کے اصول ریموٹ پتوں کی فہرست لیتے ہیں؛ اس میں اپنا پتہ ڈالیں۔ کسی بھی "میرا IP کیا ہے" صفحے پر اپنا موجودہ پبلک IP دیکھیں، پھر:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

یہ کمانڈ پورٹ 3389 کے ہر آنے والے اصول کو ڈھونڈتی ہے، صرف بلٹ ان "Remote Desktop" گروپ کو نہیں۔ یہ اہم ہے: 24 اکتوبر 2026 سے پہلے ہماری امیج سے انسٹال کیے گئے سرورز میں "EQVPS RDP 3389" نام کا ایک اضافی اصول ہے جو پورٹ سب کے لیے کھولتا ہے، اور دوسرے سافٹ ویئر بھی اپنے اصول شامل کر سکتے ہیں۔ اگر آپ صرف بلٹ ان گروپ کو محدود کریں تو ایسا اصول پورٹ کھلا رکھے گا۔ ٹیسٹ کے دوران ہم نے خود یہی غلطی کی۔ نتیجہ جانچیں:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

ہر سطر میں آپ کا پتہ ہونا چاہیے۔ ہمارے ٹیسٹ میں کسی دوسرے پتے سے کنکشن کو جواب نہیں ملا، جبکہ اجازت یافتہ پتہ اندر آ گیا۔

NAT پلان پر بھی یہ اسی طرح کام کرتا ہے۔ آپ کے ذاتی پورٹ سے آنے والا فارورڈ آپ کا اصل پتہ برقرار رکھتا ہے، اس لیے اپنا پبلک IP اجازت دیں۔

اگر آپ کا IP بدل جائے تو RDP آپ کو بھی جواب دینا بند کر دے گا۔ ڈیش بورڈ سے براؤزر کنسول کھولیں (یہ RDP یا فائر وال سے نہیں گزرتا)، لاگ ان کریں اور نئے پتے کے ساتھ کمانڈ چلائیں۔ فہرست مکمل طور پر ہٹانے کے لیے -RemoteAddress Any استعمال کریں۔

5. دیکھیں کون اندر آنے کی کوشش کر رہا ہے

ناکام لاگ ان Security لاگ میں ایونٹ 4625 ہیں۔ یہ کمانڈ ہر کوشش کا اکاؤنٹ نام اور پتہ دکھاتی ہے:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

اجازت یافتہ فہرست سے پہلے نامعلوم پتوں سے Administrator، admin، user کا مسلسل بہاؤ متوقع رکھیں۔ اس کے بعد فہرست خاموش ہو جانی چاہیے۔

کن باتوں پر وقت ضائع نہ کریں

• RDP پورٹ بدلنا۔ اپنے IPv4 والے پلان پر یہ صرف لاگ کا شور کم کرتا ہے؛ اسکینر نیا پورٹ جلد ڈھونڈ لیتے ہیں۔ NAT پلان پر یہ آپ کی رسائی توڑ دیتا ہے، کیونکہ فارورڈ 3389 پر جاتا ہے۔
• "چلانے کے لیے" فائر وال بند کرنا۔ اصول بدلنے کے بعد RDP جواب نہ دے تو براؤزر کنسول سے اصول درست کریں۔

اپ ڈیٹ رکھیں

سب سے سنگین RDP واقعات پروٹوکول کی خامیوں سے ہوئے، پاس ورڈز سے نہیں۔ Windows Server 2022 کو 14 اکتوبر 2031 تک سیکیورٹی اپ ڈیٹس ملتی ہیں، اس لیے Windows Update آن رکھیں اور کہنے پر ری اسٹارٹ کریں۔

امیج آپ کے اپنے لائسنس کے ساتھ Windows Server 2022 ہے (BYOL کیسے کام کرتا ہے)۔ پلان Windows-Small سے شروع ہوتے ہیں: 4 vCPU، 4 GB RAM، 50 GB، NAT کے ساتھ $11 ماہانہ۔ اپنے IPv4 کے ساتھ Windows Small-IP $28 ماہانہ ہے۔ چاروں پلان Windows VPS صفحے پر ہیں۔ RDP کے ساتھ SSH کے لیے دیکھیں Windows Server پر OpenSSH۔