端口映射 3389 到 5 位端口，一直在被爆破，怎么防护可以兼顾安全性跟便捷性？

日志管理看了下，24 小时大概有 3 万多条记录。大部分记录都在试 Administrator ，但显然我已经把 Administrator 禁用了。

之所以发现这个问题，是因为中午出去吃个饭，回来就发现账户被锁定无法登陆了。Windows 本地安全策略里面的锁定时间跟尝试次数已经改成 1 分钟 18 次了。虽然可以改大，但感觉改大之后只会让他们提高爆破强度...

有装 Zerotier ，但是有时候 Zerotier 会挂，所以还是保留了公网的端口。

现在的问题有两个，一个是会遇到账户被锁定，等一段时间才能登陆。第二个问题是虽然密码被破的概率不高，但是一直在被爆，总感觉不爽。由于 Windows 密码经常需要手动输入，不可能像一般网站密码搞得那么复杂。密码复杂程度一高，便捷性也就受影响了。万一密码出现在某个字典里，那麻烦就大了。

有没有什么办法可以兼顾安全性跟便捷性？

realpg

2023-05-31 10:59:32 +08:00

一般远程我都限制本市 IP 本运营商 IP 访问
基本三大运营商正规宽带的 IP 段很固定

ihciah

2023-05-31 12:00:12 +08:00

我这边的 shadow-tls v3 也可以拿来搞这个。
服务端对客户端的 client hello 有鉴权，通过后转发至配置的后端 A ，否则转发至后端 B 。

ghjexxka

2023-05-31 12:40:04 +08:00

zerotier 都能接受的话，那用 v2ray 套一层加密后再转发应该也行

ghjexxka

2023-05-31 12:42:01 +08:00

zerotier 都能接受的话，那用 v2 ，ray 套一层加密后再转发应该也行

nightwitch

2023-05-31 13:05:18 +08:00

不建议暴露 rdp 到公网，历史上多次出现鉴权和远程代码执行这种严重安全漏洞

yuchenr

2023-05-31 14:20:48 +08:00

```
Import-Module NetSecurity

$startTime = Get-Date
$startTimeStr = $startTime.AddMinutes(-5).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ss.FFFZ")
$failedAttemptsThreshold = 3

$Query = [xml]@"
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(EventID=4625) and TimeCreated[@SystemTime>='$startTimeStr']]]</Select>
</Query>
</QueryList>
"@

function Get-IPAddresses {
param (
[xml]$query,
[int]$maxEvents
)

$events = Get-WinEvent -FilterXml $query -MaxEvents $maxEvents
if (-not $events) {
Write-Host "未获取到任何日志。脚本将退出。"
return
}

$events | ForEach-Object {
$_.Properties[19].Value
}
}

$failedIPs = Get-IPAddresses -query $Query -maxEvents 100 | Group-Object | Where-Object {
$_.Count -gt $failedAttemptsThreshold
} | Select-Object -ExpandProperty Name -Unique
$uniqueIPs = Get-IPAddresses -query $Query -maxEvents 100 | Select-Object -Unique

$filteredFailedIPs = $failedIPs | Where-Object {
$_ -notmatch '^192\.168\.' -and $_ -notmatch '^10\.' -and $_ -notmatch '^172\.(1[6-9]|2[0-9]|3[0-1])\.'
}

# 定义要过滤的特定 IP 地址列表
$specificIPs = @("192.168.1.100", "10.0.0.5")

# 过滤掉特定 IP 地址
$filteredFailedIPs = $filteredFailedIPs | Where-Object {
$_ -notin $specificIPs
}

$ruleName = "BlockIPs"
$filteredFailedIPs = $filteredFailedIPs | Sort-Object

# 获取现有的防火墙规则
$existingRule = Get-NetFirewallRule -DisplayName $ruleName

if ($existingRule) {
# 获取现有的远程地址过滤器
$existingAddressFilters = Get-NetFirewallAddressFilter -AssociatedNetFirewallRule $existingRule

# 获取现有的远程地址
$existingRemoteAddresses = $existingAddressFilters | Select-Object -ExpandProperty RemoteAddress
$existingRemoteAddresses = @($existingRemoteAddresses)
$existingAddressFilters = @($existingAddressFilters)
# 添加新的地址
$newRemoteAddresses = $existingRemoteAddresses + $filteredFailedIPs | Select-Object -Unique

# 更新远程地址过滤器
$existingAddressFilters | Set-NetFirewallAddressFilter -RemoteAddress $newRemoteAddresses
}
else {
Write-Host "规则 $ruleName 不存在。"
New-NetFirewallRule -DisplayName $ruleName -Direction Inbound -Action Block -Protocol Any -RemoteAddress $filteredFailedIPs -RemoteAddressType "IP"
}
```

playboy0

2023-05-31 14:53:27 +08:00

可以把国外 ip 都封了

lx0758

2023-05-31 15:21:32 +08:00

我去, 刚刚看了下我的, 也是一堆审核失败..........我也换了端口的

Jxnujason

2023-05-31 15:32:28 +08:00

端口限 ip ？我也被爆破过，后来用的时候就上后台开放一下 IP ，用的是 frps

zhj9709

2023-05-31 16:59:24 +08:00

@hahiru 我 zerotier+tailscale 一起用明显不如用单个的，不知道是不是一起用有干扰，ping 丢包率都高点。

hahiru

2023-05-31 17:09:06 +08:00

@zhj9709 #70 没办法，有的时候这个连通，有时候那个连通。双重保险。不过我暂时没发现干扰。

asuraa

2023-05-31 17:13:28 +08:00

加入域环境用证书登陆

iphoneXr

2023-05-31 17:31:07 +08:00

企业都是上 vpn 和堡垒机，任选其一不就行了。

Arthur2e5

2023-05-31 17:45:49 +08:00

@yinmin RDP 一样有 TLS 加密，再套一层 TLS… duh 。也不是不行。

就，一样是让爆破哥难受，fail2ban 等效功能也有啊 https://github.com/DigitalRuby/IPBan 。或者说，爆破哥真的是什么大问题吗？

@yhvictor Windows XP SP3 就有 Network Level Authentication ，你在喝什么老酒啊？ TLS 强制也有注册表配置

https://serverfault.com/a/128943

连接时候点一个自签名证书信任，和 ssh 信任 host key 是一个道理。