Begræns, hvem der kan nå RDP, hold Network Level Authentication aktiveret, hvor det understøttes, brug individuelle stærke legitimationsoplysninger, og minimér administrative rettigheder. Test en anden session og gendannelsesadgang, før du lukker den aktuelle forbindelse.
Behandl skrivebordet som en administrationsgrænse
En RDP-session giver interaktiv adgang til et fjernsystem, så den konto, der bruges til den, kan blive et værdifuldt mål. Begynd med at beslutte, hvem der har brug for adgang, og hvilket arbejde de skal udføre. Et delt administratorlogin er bekvemt, indtil du skal fjerne én persons adgang eller forstå en konfigurationsændring. Individuelle konti gør disse operationelle opgaver klarere.
Adskil rutineaktivitet fra privilegerede ændringer, hvor softwaren tillader det. En bruger, der har brug for en forretningsapplikation, har ikke nødvendigvis brug for ubegrænset systemadministration. Hold også administratorens endpoint vedligeholdt: at sikre fjernmaskinen beskytter ikke legitimationsoplysninger indtastet fra en inficeret eller delt lokal enhed. Overvej begge ender af sessionen i adgangsdesignet.
Begræns tilgængelighed, før du stoler på loginbeskyttelse
Beslut, hvilke netværk eller autoriserede enheder der bør kunne nå sessionsværten. Hvor din arkitektur understøtter det, skal du bruge en kontrolleret VPN eller Remote Desktop Gateway i stedet for bredt at eksponere administration. Microsoft dokumenterer RD Gateway som en rute til interne ressourcer med politikker for forbindelses- og ressourcegodkendelse. Dens egnethed afhænger af miljøet; det er ikke en inkluderet funktion, blot fordi en plan understøtter RDP.
Begræns firewallregler til den tilsigtede vej, og bekræft, hvordan dynamiske klientadresser håndteres. Lav ikke en restriktiv regel, der straks afbryder den eneste administrator uden en gendannelsesmulighed. Hold den eksisterende session åben, test den nye vej fra en anden session, og dokumentér den autoriserede gendannelsesmekanisme, før du fjerner den ældre adgangsvej.
Hold godkendelse og tillid eksplicit
Microsoft anbefaler Network Level Authentication til de fleste understøttede miljøer. NLA kræver godkendelse, før der etableres en fuld fjernsession, hvilket tilføjer beskyttelse på det tidspunkt. Det erstatter ikke en firewall, kontopolitik eller systemopdateringer. Kontrollér klientkompatibilitet, og fejlfind godkendelsesproblemer i stedet for permanent at svække konfigurationen som det første svar.
Brug unikke legitimationsoplysninger og en anden faktor gennem en understøttet adgangsarkitektur, hvor det er muligt. Verificér den forventede fjernidentitet og certifikatadfærd, især efter en genopbygning eller ændring af værtsnavn. En certifikatadvarsel fortjener undersøgelse; gentagen accept af uventede identiteter gør en nyttig tillidskontrol til en ignoreret dialog. Opbevar gendannelseslegitimationsoplysninger i et godkendt privat lager.
| Lag | Beslutning | Verifikation |
|---|---|---|
| Netværk | Hvilke klienter må nå værten? | Uventede kilder kan ikke oprette forbindelse |
| Godkendelse | Hvilken konto og hvilke faktorer kræves? | En tilladt anden session lykkes |
| Rettighed | Hvilke opgaver kræver administration? | Rutinebrugere kan ikke ændre systemindstillinger |
| Gendannelse | Hvordan gendannes adgang efter en fejl? | Den dokumenterede gendannelsesvej er tilgængelig |
Reducer, hvad sessionen kan bære
Gennemgå udklipsholder, drev, printer og andre omdirigeringsfunktioner i forhold til den faktiske arbejdsgang. En administrator har muligvis ikke brug for, at alle lokale ressourcer er eksponeret over for fjernværten. Omvendt kan deaktivering af en påkrævet overførselsvej uden et alternativ tilskynde til usikre omgåelser. Dokumentér den tilladte metode til at flytte filer, og hold hemmeligheder ude af almindelige skrivebordsnoter eller delte downloadmapper.
Til egnede domænebaserede miljøer tilbyder Microsoft Remote Credential Guard for at reducere eksponering af legitimationsoplysninger under RDP-forbindelser. Det kræver kompatible klienter og Kerberos-godkendelse og understøtter direkte forbindelser til målmaskinen; forbindelser gennem Remote Desktop Gateway eller Connection Broker understøttes ikke. Kontrollér kravene for din faktiske adgangsvej i stedet for at betragte det som en universel beskyttelse for selvstændige hostede Windows-maskiner.
Vedligehold maskinen og den dokumentation, du har brug for
Planlæg opdateringer af operativsystem og programmer, herunder en bevidst genstartproces. Kontrollér, om en opdatering kræver genstart, og verificér tjenesten bagefter. Angiv fornuftige sessionspolitikker for uovervåget eller afbrudt arbejde, men overvej programmer, der skal fortsætte med at køre. En timeoutpolitik bør besvare et sikkerheds- eller driftsbehov i stedet for blot at kopiere et vilkårligt tal fra et andet miljø.
Behold nyttig adgangs- og hændelsesinformation under en dokumenteret politik. Overvåg gentagne godkendelsesfejl og uventet administrationsaktivitet uden at indsamle unødvendigt indhold. Begræns, hvem der kan læse diagnostiske registreringer, og beslut, hvor længe de er nødvendige. En præcis logningspolitik er mere meningsfuld end enten at beholde alt på ubestemt tid eller love, at der aldrig kan findes nogen driftsregistrering.
En sikker sekvens for første session
Ved levering skal du verificere det forventede system, ændre midlertidige legitimationsoplysninger gennem den godkendte proces og etablere individuel adgang. Bekræft firewallen og gendannelsesruten, og test derefter en anden forbindelse. Anvend opdateringer, gennemgå omdirigering og installér det påkrævede program. Opret en sikkerhedskopi, og øv gendannelse af de indstillinger, der betyder noget, før du er afhængig af skrivebordet til dagligt arbejde.
DeskLink RDP og udvalgte dedikerede konfigurationer tilbyder Windows-relaterede valgmuligheder i SwissOctet-kataloget. Bekræft operativsystem, licensering, kontoprivilegier og administrationsansvar for din ordre. En understøttet skrivebordsforbindelse er begyndelsen på en administrationsplan; de kontroller, du konfigurerer og verificerer, bestemmer, hvordan denne adgang bruges.
Din praktiske tjekliste.
- Brug individuelle konti og passende privilegier.
- Begræns den tilsigtede RDP-adgangsvej.
- Hold NLA aktiveret på kompatible systemer.
- Test en anden session, før du lukker den aktuelle adgang.
- Gennemgå omdirigering, opdateringer og sessionspolitik.
- Bekræft licensering og gendannelsesproceduren.
De detaljer, der betyder noget.
Gør NLA en eksponeret RDP-vært fuldstændig sikker?+
Nej. NLA er én godkendelseskontrol. Tilgængelighed, legitimationsoplysninger, opdateringer og privilegier kræver stadig opmærksomhed.
Kan jeg bruge Remote Credential Guard på enhver Windows-server?+
Nej. Klienten, værten og godkendelsesmiljøet skal opfylde Microsofts krav, herunder den gældende Kerberos-ordning.
Hvad bør jeg gøre, før jeg strammer firewallen?+
Verificér en gendannelsesrute, bevar den fungerende session, og test den nye tilladte vej gennem en anden forbindelse.
Gå til kilden.
Disse referencer understøtter de tekniske begreber i denne guide. Følg den aktuelle dokumentation, før du ændrer et produktionssystem.
- Microsoft: Aktivér Fjernskrivebord og godkendelse på netværksniveau learn.microsoft.com
- Microsoft: Adgang til Remote Desktop Gateway learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
Redaktionel vejledning af SwissOctet. Eksempler er illustrative. Servicespecifikationer, tilgængelige valgmuligheder og kontraktvilkår skal verificeres separat.