远程桌面 RDP 安全策略如何做

RDP安全策略需分层控制：强制TLS 1.2+加密与证书验证、启用NLA认证、限制登录权限与暴露面、禁用空密码和默认端口、合理管控重定向与凭据保存，并适配Credential Guard及26Hx证书检查策略。

远程桌面 RDP 安全策略不是堆砌开关，而是分层控制：既要防外部攻击，又要管住内部误操作，还得兼顾运维效率。核心是“加密不妥协、认证不放水、访问有边界、凭据不裸奔”。

强制启用 TLS 1.2+ 加密与证书验证

RDP 默认加密强度不足，中间人攻击常从弱协议切入。必须关闭旧协议，绑定可信证书：

1. 组策略路径：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全
2. 启用“要求使用特定的安全层”，选TLS 1.2（禁用 SSL 和 RDP 旧加密）
3. 启用“不允许 RDPLegacy 加密”，彻底切断 RC4 等已知漏洞通道
4. 配置“为 RD 会话主机部署配置证书”，填入内网 CA 签发的服务器证书 Thumbprint，确保客户端只认这张“身份证”

收紧身份验证与登录权限

密码再强，如果账户权限过大或验证形同虚设，照样失守：

1. 启用“要求使用网络级别身份验证（NLA）”，让认证发生在建立图形会话前，大幅降低暴力破解成功率
2. 在“用户权限分配”中，仅向明确需要的组（如 RD-Users）授予“允许通过远程桌面服务登录”权限，删掉默认的 Everyone 或 Users
3. 禁用空密码登录：组策略中找到“帐户：使用空密码的本地账户只允许进行控制台登录”，设为已禁用（测试环境除外）
4. 避免使用 Administrator 账户直连，为远程访问单独建低权限运维账号

限制暴露面与连接行为

少一个端口、少一次连接、少一个设备，就少一分风险：

1. 修改默认端口：注册表改 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-TcpPortNumber 为非标值（如 33890），并同步更新防火墙入站规则，禁用原 3389 规则
2. 防火墙只放行必要 IP 段：高级安全防火墙中，为新 RDP 端口规则设置“作用域”，限定源 IP 为运维网段（如 10.10.20.0/24）
3. 禁用不必要的重定向：组策略中关闭“允许驱动器重定向”“允许打印机重定向”，除非业务真需要；剪贴板可保留但需评估数据外泄风险
4. 关闭“允许保存凭据”策略（计算机配置 → 管理模板 → 系统 → 凭据分配），防止凭据被恶意提取

应对 Credential Guard 与高版本拦截

Win10/11 企业版启用 Credential Guard 后，RDP 自动登录常被拦。这不是故障，是安全机制生效：

1. 若确需免密登录，需权衡风险后关闭虚拟化安全：注册表中将 HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSALsaCfgFlags 设为 0，并重启
2. 更推荐替代方案：用 Windows 凭据管理器手动添加 RDP 凭据（类型选“通用凭据”，地址填 server.fqdn:33890），比自动保存更可控
3. 对 26Hx 系统，启用“服务器身份验证证书检查→不显示警告”，前提是内网 CA 已预埋到所有客户端受信任根证书存储