Настройка брандмауэра windows server 2008 r2 для rdp

Если вы относитесь к той небольшой части админов, которые заботятся о безопасности и не выключают брандмауэр на сервера, то вам придется выполнить эти операции по «пробиванию дырки» во встроенном брандмауре для RDP.

Перво-наперво проверяем, что удаленной управление вообще включено.

Мой компьютер — Свойства — Дополнительный параметры системы
Там смотрим на закладке удаленный доступ. Лучше галку поставить «Разрешено подключаться только с компьютеров, на которых работает удаленный рабочий стол с проверкой подлинности на уровне сети». Это более безопасное решение. Однако, если вы используете операционную систему с который будете подключаться меньше чем Windows Vista, то вам будет необходимо обновить RDP-клиент до версии 6.1. Ни каких проблем с этом обновление быть не должно — достаточно скачать только один файл с сервера Microsoft.

Под кнопкой Выбрать пользователей скрывается возможность выбрать кому можно подключаться к сервере.

Теперь идем настраивать дырку в брандмауэре Windows.

Пуск — Панель управления — Система и безопасность — Брандмауэр Windows

Слева Дополнительные параметры

В открывшемся окне Правила для входящих подключений

Ищем Дистанционное управление рабочим столом (TCP — входящий).
Ставим галку Включено, действие = Разрешить подключения.
На закладке область ограничиваем ip с которых можно подключиться к серверу. Ставим там, например, ip админской машины или на крайний случай диапазон ip локальной сети.

http://tudimon.com/2011/05/20/razreshenie-podklyuchenie-po-rdp-v-brandmauere-windows-server-2008.html

01. Firewall Ну, тут все понятно. Главное правило — «запретить все». В Windows 2008 R2 встроен довольно неплохой брандмауэр, можно начать с него. Оставьте открытыми порты 80 и 443 (и, возможно, 3389 для RDP) — и все.

02. Настройка GPO. Идем в «Start — Run — secpol.msc — Security Settings — Account Policies — Account Lockout Policy». И ставим, например, «5 попыток» и «5 минут» — это заблокирует пользователя на 5 минут после 5 неудачных авторизаций.

Идем в «Start — Run —gpupdate.msc — Конфигурация ПК — Конфигурация Windows  — Параметры безопасности — Локальные политики — Параметры безопасности: Параметры локальной безопасности» галку на использовать только RC4_HMAC_MD5.

03. Установите менеджер паролей. Куча моих знакомых (реально — куча) пользуются схемой «один сложный пароль — для всего». Даже знакомые программеры, админы, дизайнеры… Неглупые, в общем, люди. Одумайтесь. Даже для сервисных учетных записей (типа пользователи БД и тд) используйте только сложные сгенеренные пароли. И держите их в пасс-менеджере. Лично я пользую «LastPass» — он бесплатный, классный и доступен в виде экстеншена для Chrome.

04. Сменить порт для RDP Порт терминального сервиса (тот самый «Удаленный рабочий стол») меняется в реестре вот тут: «HKEY_LOCAL_MACHINESystemCurrentControlSetControlTerminalServerWinStationsRDP-TcpPortNumber» (не забудьте открыть этот порт на файрволле и перезапустить RDP-сервис).

Выбираем правило на основе порта.

Указываем номер заданного нами порта (в примере TCP 50000).

Затем указываем действие для нашего правила — разрешить подключение (Allow the connection). Здесь же при необходимости для нашего подключения можно включить шифрование.

В зависимости от того, где находится сервер — в рабочей группе, в домене или в публичном доступе указываем сетевой профиль, для которого действует правило.

Обзываем созданное правило так, чтобы его легко было опознать и жмем кнопку «Finish».

Перезапустить RDP-сервис и подключаемся к нему, не забыв в адресе подключения указать порт через двоеточие.

Порты SQL Server’а меняются в утилите «SQL Server Configuration Manager» — «Network Configuraion» — «Protocols for [имя сервера]» — «TCP-IP» — right-click — «Properties».

Есть ситуации, когда необходимо изменить порт для подключения к серверу терминалов в Windows Server 2008 R2. Здесь я расскажу как это сделать.

1. Изменение порта в реестре

Заходим на сервер с правами администратора и запускаем редактор реестра (Для этого нажимаем «Пуск» , в строке поиска пишем «regedit» и запускаем regedit.exe из появившегося списка)

Делаем, на всякий случай, экспорт реееста. А затем, в редакторе реестра, в дереве слева, идем по пути:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp

выделяем папку «RDR-Tcp» и справа находим параметр «PortNumber» . Кликаем по нему 2 раза и в открывшемся окне выбираем десятеричную систему счисления. Теперь текущее значение порта 3389 меняем на то, которое вам надо (В моем примере это 3394). Нажимаем «ОК» и закрываем редактор.

2. Добавление правила в Бредмауэр.

Теперь, когда мы изменили порт для RDP, надо добавить правило в бредмауэр для нового порта. Для этого заходим «Пуск» — «Панель управления» — «Система и безопасность» — «Бредмауэр Windows» . Слева нажимаем на «Дополнительные параметры» , откроется оснастка «Бредмауэр в режиме повышенной безопасности», заходим в ветку «Правила для входящих подключений» и нажимаем «Создать правило» .

Запустится «Мастер создания правила для нового входящего подключения», выбираем правило «Для порта», нажимаем «Далее» .

Указываем номер нашего нового порта (у меня 3394), жмем 3 раза «Далее», вводим название правила, и нажимаем «Готово» .

Чтобы все изменения вступили в силу, необходимо перезагрузить сервер.

Все, на этом настройка закончена. Теперь можно заходить на сервер через новый порт. Для этого при подключении к удаленному рабочему столу в поле «Компьютер» надо написать IP-адрес сервера, двоеточие и номер порта.

Запись опубликована в рубрике Windows Server 2008 R2 с метками RDP, Windows Server 2008. Добавьте в закладки постоянную ссылку.