Bảo vệ RDP: cổng, mật khẩu, hạn chế

Các trình quét tự động phát hiện cổng 3389 lộ ra internet chỉ trong vài giờ. Tiếp theo là dò mật khẩu bằng brute-force nhắm vào tài khoản Administrator — cách phổ biến nhất để mất một máy Windows. Lớp bảo vệ được xây dựng từ vài lớp đơn giản.

Lớp một: ai được phép kết nối

Cách hiệu quả nhất là chỉ cho phép địa chỉ của chính bạn truy cập RDP. Trong Windows Firewall, quy tắc mặc định cho phép 3389 với mọi người; hãy thay thế nó.

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 203.0.113.5,198.51.100.0/24

Để kiểm tra kết quả:

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Nếu bạn có địa chỉ nhà động, một lựa chọn là chỉ để lại quyền truy cập từ một node phụ duy nhất hoặc thiết lập VPN và đóng hoàn toàn RDP. Luôn có một đường vào khẩn cấp nếu bạn mắc lỗi trong quy tắc: tab “Console” trong bảng điều khiển /hosting/vds/m/<id>, chế độ “Screen”.

Lớp hai: tài khoản và mật khẩu

• Đổi mật khẩu được cấp khi tạo và đặt mật khẩu dài — ít nhất 16 ký tự.
• Tạo một tài khoản riêng cho bạn trong nhóm “Remote Desktop Users”, và đổi tên tài khoản tích hợp Administrator: Rename-LocalUser -Name Administrator -NewName adm-local. Một nửa số lần brute-force đều nhắm vào tên Administrator.
• Bật khóa sau số lần đăng nhập thất bại:

net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30

• Kiểm tra rằng NLA đã được bật — xác thực trước khi tạo phiên:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

Lớp ba: cổng và giám sát

Đổi cổng không phải là bảo vệ, nhưng nó cắt đứt các trình quét hàng loạt và làm sạch log:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 34567
New-NetFirewallRule -DisplayName "RDP custom" -Direction Inbound -Protocol TCP -LocalPort 34567 -Action Allow -RemoteAddress 203.0.113.5
Restart-Service TermService -Force

Sau đó, kết nối tới ADDRESS:34567. Tắt quy tắc cũ cho 3389.

Theo dõi ai đang gõ cửa nhà bạn:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}}

Sự kiện 4625 là đăng nhập thất bại, 4624 là đăng nhập thành công. Một dòng sự kiện 4625 liên tục từ các địa chỉ lạ nghĩa là bạn chưa bao giờ bật bộ lọc địa chỉ.

Những lỗi thường gặp

• Chỉ dựa vào việc đổi cổng. Trình quét sẽ tìm thấy RDP trên bất kỳ cổng nào trong vòng một ngày; danh sách cho phép mới là thứ thực sự giúp ích.
• Tắt NLA để tương thích với client cũ. Khi đó bất kỳ ai cũng có thể tới màn hình đăng nhập và làm quá tải máy.
• Quên những người dùng khác. Kiểm tra ai được phép đăng nhập: Get-LocalGroupMember "Remote Desktop Users".
• Tự khóa mình ra ngoài rồi hoảng loạn. Console trong bảng điều khiển luôn hoạt động, và nếu quy tắc làm hỏng mọi thứ, đĩa khôi phục sẽ giúp bạn.

Tài khoản, quyền và nhóm được trình bày chi tiết hơn trong bài viết Người dùng và quyền trong Windows Server, còn cách thiết lập bộ lọc tổng quát nằm trong Windows Firewall.