![限制使用动态 IP 地址客户端访问 Windows 终端服务](https://linux22.com/image/560199/%E9%99%90%E5%88%B6%E4%BD%BF%E7%94%A8%E5%8A%A8%E6%80%81%20IP%20%E5%9C%B0%E5%9D%80%E5%AE%A2%E6%88%B7%E7%AB%AF%E8%AE%BF%E9%97%AE%20Windows%20%E7%BB%88%E7%AB%AF%E6%9C%8D%E5%8A%A1.png)
鉴于最近出现的一些蠕虫,我正在寻找方法来进一步限制对面向公众的 Win2k3 服务器上的终端服务的访问。防火墙 IP 地址限制不是一种选择,因为真正的客户端都在动态地址上。
似乎最有可能的选择是在服务器上设置 IPSec VPN 功能。这看起来需要一点时间,所以我想检查一下是否有其他人有这样做的经验,以及 IPSec 是否实际上是最简单、最轻松的方法?
答案1
显然,VPN 解决方案之外的最佳解决方案。
我过去有一些客户坚持要求不花钱就能获得最好的安全保障,哈哈,听起来很可笑吧。
无论如何,除了像您所说的非常强的密码外,还要更改终端服务器监听的端口号。每个人都知道端口 3389 是终端服务器,因此请将其更改为一些不显眼的端口,然后您可以在防火墙上关闭该端口并打开新端口,将其设置为端口范围内非常高的值,例如 9000,这样它就不会在网络外部的简单端口扫描期间被扫描到。
然后去这里https://www.grc.com/x/ne.dll?bh0bkyd2并运行测试,你不应该在列表中看到你的终端服务器端口,希望你除了邮件服务器之外什么都看不到,如果你有一个
答案2
看一下如何设置“终端服务网关”,或者我认为服务器 2008R2 将其称为远程桌面网关。您设置一个面向 Internet 的 IIS 服务器作为网关,最好位于防火墙外的 DMZ 中。客户端通过 HTTPS 安全地联系服务器,并使用由受信任的公共证书颁发机构签名的证书进行保护。该服务器可以依次检查策略服务器是否允许连接(或允许什么),甚至可以进行健康检查以确定允许哪种 RDP 会话,然后将 RDP 传输到真正的目标服务器。您可以制定一项策略,规定只有域计算机或具有您导出的证书的计算机才允许连接。
仅供参考,此解决方案需要时间、精力,可能还需要一点钱,但极其有用。6 个月前与 Microsoft 的 Mac OSX RDP 客户端不兼容。