RDP zaštita: port, lozinke, ograničenja

Automatski skeneri pronalaze port 3389 izložen internetu u roku od nekoliko sati. Zatim sledi gruba sila na lozinku naloga Administrator — najčešći način da izgubiš Windows mašinu. Zaštita se gradi iz nekoliko jednostavnih slojeva.

Prvi sloj: ko može da se poveže

Najefikasniji pristup je da dozvoliš RDP samo svojim adresama. U Windows Firewall-u podrazumevano pravilo dozvoljava 3389 svima; zameni ga.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

Da proveriš rezultat:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Ako imaš dinamičku kućnu adresu, opcija je da ostaviš pristup sa jednog pomoćnog čvora ili da postaviš VPN i potpuno zatvoriš RDP. Uvek postoji način za hitan ulazak ako pogrešiš u pravilu: kartica „Console“ u panelu /hosting/vds/m/<id>, režim „Screen“.

Drugi sloj: nalozi i lozinke

• Promeni lozinku izdatu pri kreiranju i neka bude dugačka — najmanje 16 karaktera.
• Napravi poseban nalog za sebe u grupi „Remote Desktop Users“ i preimenuj ugrađeni Administrator: Rename-LocalUser -Name Administrator -NewName adm-local. Polovina svih pokušaja grube sile cilja ime Administrator.
• Uključi zaključavanje nakon neuspelih pokušaja:

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• Proveri da je NLA uključen — autentifikacija pre uspostavljanja sesije:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

Treći sloj: port i nadzor

Promena porta nije zaštita, ali odbija masovne skenere i čisti log:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

Nakon toga se povezuješ na ADDRESS:34567. Onemogući staro pravilo za 3389.

Prati ko kuca na tvoja vrata:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

Događaj 4625 je neuspešna prijava, 4624 je uspešna. Stalan priliv događaja 4625 sa stranih adresa znači da nikada nisi uključio filter adresa.

Uobičajene greške

• Oslanjanje samo na promenu porta. Skener će pronaći RDP na bilo kom portu u roku od jednog dana; lista dozvoljenih adresa je ono što zaista pomaže.
• Isključivanje NLA radi kompatibilnosti sa starim klijentom. Tada svako može da dođe do ekrana za prijavu i optereti mašinu.
• Zaboravljanje na druge korisnike. Proveri ko sme da se prijavi: Get-LocalGroupMember "Remote Desktop Users".
• Zaključavanje sebe i panika. Konzola u panelu uvek radi, a ako je pravilo sve pokvarilo, pomoći će recovery disk.

Nalozi, prava i grupe detaljnije su obrađeni u članku Korisnici i prava u Windows Serveru, a opšte podešavanje filtera u Windows Firewall.