Mi servidor web está en los EE. UU. y se accede a él desde mi casa en Canadá mediante la Conexión a Escritorio remoto, puerto estándar.
Personas no autorizadas han intentado iniciar sesión desde muchos países diferentes, algunas lo intentaron más de 10.000 veces al día hasta que finalmente se dieron por vencidos.
Si el puerto RDP se cambia a un puerto no estándar, es muy probable que estas personas simplemente iteren los puertos hasta localizar el puerto RDP reasignado y luego continúen intentando forzar la contraseña por fuerza bruta.
Mi miedo a lo desconocido es que para cambiar el puerto lo haga yo a través de Conexión a Escritorio Remoto; ¿es seguro?
¿Cuál es el riesgo de bloquearme?
Además, en lugar de decirle a RDC que vaya a "la dirección IP de mi servidor", ¿el acceso futuro tendría que expresarse como "dirección IP de mi servidor: nuevo puerto RDP"?
Respuesta1
if the RDP port is changed to a non-standard port, it is very likely that these people will simply iterate ports until they locate the re-assigned RDP port and then continue to try to brute force the password?- Sí, es probable que eso suceda.
My fear of the unknown is that to change the port it would be done by me via Remote Desktop Connection; is it safe?- Es seguro para la sesión actual. Cambiar el puerto de escucha predeterminado requiere reiniciar el servidor, por lo que estará bien hasta que reinicie el servidor después de realizar este cambio.
What is the risk of locking myself out?- Bastante bajo para la sesión actual. El riesgo es que después de realizar el cambio y reiniciar el servidor, se le podría impedir el acceso al servidor si hay un firewall de red frente al servidor que solo permite conexiones al puerto predeterminado del servidor.
Also, instead of telling RDC to go to "my server ip address", would future access have to be expressed as "my server ip address:new RDP port"?- Sí.
Respuesta2
Hay poco riesgo de perder el acceso al servidor al cambiar el puerto RDP, pero aún existe algo.
Antes de cambiar el puerto RDP, verifique los firewalls detrás del servidor y asegúrese de que el nuevo puerto no esté bloqueado.
Además, asegúrese de poder obtener acceso a la consola si es necesario (manos remotas, un amigo que tenga acceso al servidor, un KVM IP remoto, lo que sea). De todos modos, esto probablemente sea bueno para cualquier servidor.
Para responder a su última pregunta, sí, deberá especificar el número de puerto en la conexión RDP cada vez.
Un último consejo: aunque cambie el número de puerto en el que escucha RDP, todavía es posible que un malhechor establezca conexiones. Asegúrese de que todas las cuentas tengan contraseñas seguras y desactive la cuenta de Administrador si es posible.
Respuesta3
No intente cambiar el puerto RDP en el servidor.
No espere que cambiar el número de puerto haga que RDP sea seguro automáticamente.
Tenga un firewall frente a su servidor que pueda controlar el tráfico RDP hacia y desde su servidor.
Configure su firewall para reenviar el tráfico en un puerto no estándar al puerto estándar RDP 3389. A continuación explico por qué. Que yo sepa, el Firewall de Windows integrado no hará esto, pero otros firewalls sí lo harán.
Configure su firewall para permitir el tráfico en su puerto RDP desde su sistema doméstico y no permita RDP desde todo lo demás. Dependiendo del firewall y otras opciones, esto podría significar obtener una IP estática para el sistema de su hogar o configurar un servicio DNS dinámico, o podría significar escribir reglas de firewall basadas en direcciones Mac conocidas que utilice.
Para evitar que este problema llegue a la interfaz de su firewall, desea configurarlo para que su firewall solo pueda configurarse a través de RDP. Aun así, esto debería reducir el riesgo de quedar excluido. Lo logra configurando una regla de reenvío de puerto no estándar en su firewall además del puerto RDP estándar, para que pueda probar la nueva regla de manera segura. Escriba su regla de firewall para el puerto que desee, pruebe que bloquee el acceso desde una ubicación aleatoria (como una biblioteca), pero aún permita el acceso desde casa. Luego bloquee el acceso en el puerto normal después de haber probado exitosamente la regla (o viceversa: use el puerto no estándar como protección hasta que haya probado la regla en el puerto estándar).
Y, por supuesto, lo que realmente deberías hacer aquí es configurar una conexión VPN a tu servidor... pero incluso con una conexión VPN, necesitarás un firewall que controle el acceso.
Respuesta4
En mi humilde opinión, no es seguro exponer RDP directamente a Internet. Recomiendo considerar el uso de VPN como ya se mencionó. Si hay alguna razón para no usar VPN. Cambie el puerto en la regla NAT de su firewall y configure reglas que bloqueen a las personas que escanean puertos.