Protection RDP : port, mots de passe, restrictions

Les scanners automatisés trouvent le port 3389 exposé sur Internet en quelques heures. Vient ensuite le brute-force de mots de passe contre le compte Administrator — la façon la plus courante de perdre une machine Windows. La protection repose sur plusieurs couches simples.

Première couche : qui peut se connecter

L'approche la plus efficace consiste à n'autoriser l'accès RDP qu'à vos propres adresses. Dans le pare-feu Windows, la règle par défaut autorise le port 3389 pour tout le monde ; remplacez-la.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

Pour vérifier le résultat :

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Si vous disposez d'une adresse domestique dynamique, vous pouvez laisser l'accès depuis un seul nœud auxiliaire ou configurer un VPN et fermer complètement RDP. Il existe toujours un moyen d'accès d'urgence en cas d'erreur dans la règle : l'onglet « Console » du panneau /hosting/vds/m/<id>, mode « Screen ».

Deuxième couche : comptes et mots de passe

• Modifiez le mot de passe généré à la création et rendez-le long — au moins 16 caractères.
• Créez un compte distinct pour vous-même dans le groupe « Utilisateurs du Bureau à distance », et renommez le compte intégré Administrator : Rename-LocalUser -Name Administrator -NewName adm-local. La moitié des tentatives de brute-force ciblent le nom Administrator.
• Activez le verrouillage après plusieurs tentatives échouées :

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• Vérifiez que NLA est activé — l'authentification avant la création de la session :

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

Troisième couche : port et surveillance

Changer le port n'est pas une protection, mais cela écarte les scanners de masse et allège le journal :

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

Connectez-vous ensuite à ADDRESS:34567. Désactivez l'ancienne règle pour le port 3389.

Surveillez qui frappe à votre porte :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

L'événement 4625 correspond à un échec de connexion, 4624 à une connexion réussie. Un flux continu d'événements 4625 provenant d'adresses étrangères signifie que vous n'avez jamais activé le filtre d'adresses.

Erreurs courantes

• Ne compter que sur le changement de port. Un scanner trouvera RDP sur n'importe quel port en l'espace d'une journée ; c'est la liste d'autorisation qui aide réellement.
• Désactiver NLA pour la compatibilité avec un ancien client. N'importe qui peut alors atteindre l'écran de connexion et charger la machine.
• Oublier les autres utilisateurs. Vérifiez qui est autorisé à se connecter : Get-LocalGroupMember "Remote Desktop Users".
• Se verrouiller dehors et paniquer. La console du panneau fonctionne toujours, et si la règle a tout cassé, le disque de récupération vous aidera.

Les comptes, les droits et les groupes sont détaillés dans l'article Utilisateurs et droits dans Windows Server, et la configuration générale des filtres dans Pare-feu Windows.