禁止、减慢或停止大量 RDP 登录尝试

Question

来自客户端名称 a 的远程会话超出了允许的最大失败登录尝试次数。会话被强制终止。

其中一台服务器正在遭受字典攻击。我已设置了所有标准安全措施（重命名管理员等），但想知道是否有办法限制或禁止攻击。

编辑：服务器仅远程。我需要RDP 来访问它。

Answer 1

在防火墙处阻止 RDP。我不知道为什么这么多人允许这样做。如果您需要 RDP 到您的服务器，请设置 VPN。

Answer 2

更改端口后几乎所有攻击都会停止。

攻击通常不会专门针对您，而是针对所有 IP。因此他们不会尝试非默认端口，因为这根本不值得；尝试下一个 IP 的几率比尝试下一个端口高出几个数量级。

Answer 3

理论上，你可以使用一种叫做入侵防御系统（IPS）。理想情况下，此设备应该是 Windows 盒子之外的设备。在 Linux iptables 防火墙中构建规则以阻止暴力攻击流量非常容易。

在一个单独问题Evan 提到他开发了一个脚本，可以根据 OpenSSH 中的故障来管理 Windows 防火墙。如果您必须在 Windows 机器上执行此操作，您可以调整他的代码以在此处应用。

Answer 4

如果您知道需要通过互联网 RDP 到此服务器的 PC 的 IP 地址，请配置您的路由器/防火墙以仅允许来自这些 IP 或 IP 范围的 RDP 流量。如果传入 PC 使用来自其 ISP 的 DHCP，则将 ISP 的 IP 范围放入防火墙至少会阻止大多数随机登录尝试。