Mein Webserver steht in den USA und der Zugriff erfolgt von meinem Zuhause in Kanada aus über eine Remotedesktopverbindung (Standardport).
Unbefugte haben aus vielen verschiedenen Ländern versucht, sich anzumelden. Einige haben es mehr als 10.000 Mal am Tag versucht, bis sie schließlich aufgegeben haben.
Wenn der RDP-Port in einen nicht standardmäßigen Port geändert wird, ist es sehr wahrscheinlich, dass diese Leute einfach die Ports ausprobieren, bis sie den neu zugewiesenen RDP-Port finden, und dann weiter versuchen, das Kennwort mit Brute-Force-Methoden zu erraten.
Meine Angst vor dem Unbekannten besteht darin, dass ich den Port über eine Remotedesktopverbindung ändern müsste. Ist das sicher?
Wie hoch ist das Risiko, mich auszusperren?
Und anstatt RDC anzuweisen, zu „meiner Server-IP-Adresse“ zu gehen, müsste der zukünftige Zugriff als „meine Server-IP-Adresse: neuer RDP-Port“ ausgedrückt werden?
Antwort1
if the RDP port is changed to a non-standard port, it is very likely that these people will simply iterate ports until they locate the re-assigned RDP port and then continue to try to brute force the password?- Ja, das wird wahrscheinlich passieren.
My fear of the unknown is that to change the port it would be done by me via Remote Desktop Connection; is it safe?- Es ist für die aktuelle Sitzung sicher. Das Ändern des Standard-Abhörports erfordert einen Neustart des Servers. Es ist also alles in Ordnung, bis Sie den Server nach dieser Änderung neu starten.
What is the risk of locking myself out?- Ziemlich niedrig für die bestehende Sitzung. Das Risiko besteht darin, dass Sie nach der Änderung und dem Neustart des Servers möglicherweise nicht mehr auf den Server zugreifen können, wenn sich vor dem Server eine Netzwerk-Firewall befindet, die nur Verbindungen zum Standardport des Servers zulässt.
Also, instead of telling RDC to go to "my server ip address", would future access have to be expressed as "my server ip address:new RDP port"?- Ja.
Antwort2
Das Risiko, durch die Änderung des RDP-Ports den Zugriff auf den Server zu verlieren, ist zwar gering, ein gewisses Risiko besteht jedoch dennoch.
Bevor Sie den RDP-Port ändern, überprüfen Sie alle Firewalls, hinter denen sich der Server befindet, und stellen Sie sicher, dass der neue Port nicht blockiert ist.
Stellen Sie außerdem sicher, dass Sie bei Bedarf Zugriff auf die Konsole erhalten (remote, ein Freund mit Zugriff auf den Server, ein Remote-IP-KVM usw.). Dies ist wahrscheinlich ohnehin für jeden Server gut.
Um Ihre letzte Frage zu beantworten: Ja, Sie müssen jedes Mal die Portnummer in der RDP-Verbindung angeben.
Ein letzter Ratschlag: Auch wenn Sie die Portnummer ändern, auf der RDP lauscht, ist es einem Übeltäter immer noch möglich, Verbindungen herzustellen. Stellen Sie sicher, dass alle Konten sichere Passwörter haben, und deaktivieren Sie das Administratorkonto, wenn möglich.
Antwort3
Versuchen Sie nicht, den RDP-Port auf dem Server zu ändern.
Erwarten Sie nicht, dass RDP durch die Änderung der Portnummer automatisch sicher wird.
Installieren Sie vor Ihrem Server eine Firewall, die den RDP-Verkehr zu und von Ihrem Server steuern kann.
Richten Sie Ihre Firewall so ein, dass der Datenverkehr über einen nicht standardmäßigen Port an den RDP-Standardport 3389 weitergeleitet wird. Ich erkläre weiter unten, warum. Meines Wissens nach tut die integrierte Windows-Firewall dies nicht, andere Firewalls jedoch schon.
Richten Sie Ihre Firewall so ein, dass sie Datenverkehr auf Ihrem RDP-Port von Ihrem Heimsystem zulässt und RDP von allen anderen Geräten untersagt. Abhängig von der Firewall und anderen Optionen kann dies bedeuten, dass Sie eine statische IP-Adresse für Ihr Heimsystem erhalten oder einen dynamischen DNS-Dienst einrichten müssen. Oder Sie müssen Firewall-Regeln auf der Grundlage der von Ihnen verwendeten bekannten Mac-Adressen schreiben.
Um zu vermeiden, dass dieses Problem direkt an Ihre Firewall-Schnittstelle weitergeleitet wird, sollten Sie dies so einrichten, dass Ihre Firewall nur über RDP konfiguriert werden kann. Trotzdem sollte dies das Risiko verringern, sich selbst auszusperren. Dies erreichen Sie, indem Sie zusätzlich zum Standard-RDP-Port eine nicht standardmäßige Portweiterleitungsregel auf Ihrer Firewall konfigurieren, damit Sie die neue Regel auf sichere Weise testen können. Schreiben Sie Ihre Firewall-Regel für den gewünschten Port und testen Sie, ob sie den Zugriff von einem zufälligen Standort (z. B. einer Bibliothek) blockiert, aber weiterhin den Zugriff von zu Hause aus zulässt. Blockieren Sie dann den Zugriff auf den normalen Port, nachdem Sie die Regel erfolgreich getestet haben (oder umgekehrt: Verwenden Sie den nicht standardmäßigen Port als Schutz, bis Sie die Regel auf dem Standardport getestet haben).
Und natürlich sollten Sie hier wirklich eine VPN-Verbindung zu Ihrem Server einrichten … aber selbst mit einer VPN-Verbindung benötigen Sie eine Firewall, die den Zugriff kontrolliert.
Antwort4
Meiner bescheidenen Meinung nach ist es nicht sicher, RDP direkt dem Internet auszusetzen. Ich empfehle, wie bereits erwähnt, die Verwendung eines VPN in Betracht zu ziehen. Wenn es einen Grund gibt, kein VPN zu verwenden, ändern Sie den Port in der NAT-Regel Ihrer Firewall und richten Sie Regeln ein, die das Scannen von Ports blockieren.