Защита RDP: порт, пароли, ограничения

Порт 3389, открытый в интернет, находят автоматические сканеры за считаные часы. Дальше идёт перебор паролей к учётной записи Administrator — самый частый способ потерять машину с Windows. Защита строится из нескольких простых слоёв.

Слой первый: кто может подключаться

Самое эффективное — пустить к RDP только свои адреса. В брандмауэре Windows правило по умолчанию разрешает 3389 всем; замените его.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

Проверить результат:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Если у вас динамический домашний адрес, вариант — оставить доступ с одного вспомогательного узла или поднять VPN, а RDP закрыть полностью. Аварийный путь внутрь при ошибке в правиле всегда есть: вкладка «Консоль» в панели /hosting/vds/m/<id>, режим «Экран».

Слой второй: учётные записи и пароли

• Смените пароль, выданный при создании, и сделайте его длинным — от 16 символов.
• Создайте себе отдельную учётную запись в группе «Пользователи удалённого рабочего стола», а встроенного Administrator переименуйте: Rename-LocalUser -Name Administrator -NewName adm-local. Половина переборов идёт именно по имени Administrator.
• Включите блокировку после неудачных попыток:

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• Проверьте, что включён NLA — проверка подлинности до создания сеанса:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

Слой третий: порт и наблюдение

Смена порта не защита, но отсекает массовые сканеры и очищает журнал:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

Подключаться после этого — на АДРЕС:34567. Старое правило для 3389 отключите.

Смотрите, кто к вам стучится:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

Событие 4625 — неудачный вход, 4624 — успешный. Регулярный поток 4625 с чужих адресов означает, что фильтр по адресам вы так и не включили.

Частые ошибки

• Полагаться только на смену порта. Сканер найдёт RDP на любом порту за сутки, помогает именно список разрешённых адресов.
• Отключить NLA ради совместимости со старым клиентом. Тогда любой желающий может дойти до экрана входа и грузить машину.
• Забыть про других пользователей. Проверьте, кому разрешён вход: Get-LocalGroupMember "Remote Desktop Users".
• Заблокировать себя и запаниковать. Консоль в панели работает всегда, а если правило совсем всё сломало, поможет диск восстановления.

Учётные записи, права и группы разбираются подробнее в статье Пользователи и права в Windows Server, а общая настройка фильтра — в Брандмауэр Windows.