使用 frp 将 Windows 远程桌面暴露到公网上，貌似被爆破了，怎么破

[vzextreme]

起因是发现 frp dashboard 远程桌面端口流量非常大，然后查看远程桌面主机的事件查看器，非常密集的账户登录失败事件，大概每秒 3-5 次。下面是事件信息。 ps：暴露端口不是 3389，密码也是强密码

帐户登录失败。

使用者:
	安全 ID:		NULL SID
	帐户名:		-
	帐户域:		-
	登录 ID:		0x0

登录类型:			3

登录失败的帐户:
	安全 ID:		NULL SID
	帐户名:		xxxxxxx
	帐户域:		DESKTOP

失败信息:
	失败原因:		未知用户名或密码错误。
	状态:			0xC000006D
	子状态:		0xC000006A

进程信息:
	调用方进程 ID:	0x0
	调用方进程名:	-

网络信息:
	工作站名:	-
	源网络地址:	127.0.0.1
	源端口:		0

详细身份验证信息:
	登录进程:		NtLmSsp 
	身份验证数据包:	NTLM
	传递服务:	-
	数据包名(仅限 NTLM):	-
	密钥长度:		0

登录请求失败时在尝试访问的计算机上生成此事件。

“使用者”字段指明本地系统上请求登录的帐户。这通常是一个服务(例如 Server 服务)或本地进程(例如 Winlogon.exe 或 Services.exe)。

“登录类型”字段指明发生的登录的种类。最常见的类型是 2 (交互式)和 3 (网络)。

“进程信息”字段表明系统上的哪个帐户和进程请求了登录。

“网络信息”字段指明远程登录请求来自哪里。“工作站名”并非总是可用，而且在某些情况下可能会留为空白。

“身份验证信息”字段提供关于此特定登录请求的详细信息。
	-“传递服务”指明哪些直接服务参与了此登录请求。
	-“数据包名”指明在 NTLM 协议之间使用了哪些子协议。

[wzw]

你们都用 frp，我用 nps，感觉配置更灵活，客户端不用配置

[v2tudnew]

其实还有个办法，RDP 被登陆时邮件提醒。虽然不能防御，但可以亡羊补牢。

[ReferenceE]

换端口试试？

[EVJohn]

用 tinc 把，或者是 zerotier

[Huelse]

我用的 wireguard https://huelse.gitee.io/posts/wireguard-nat-lan/

[NSAgold]

@zhengfan2016 #14 审题啊 他是 3389 的 tcp 连接，cf 防不了

[NSAgold]

@NSAgold #46 更正一下“是 RDP 的 tcp 连接”

[kruskal]

@LeeReamond #26
https://github.com/DigitalRuby/IPBan/releases
这个工具很好用

[ScotGu]

/t/740532
早年间发现 frp 这个特性，但是没有找到什么好的办法处理。
所以现在转 zerotier 了。

[bjdgyc]

可以试试用 vpn 的方式解决
https://github.com/bjdgyc/anylink

[no1xsyzy]

如果不是暴露给别人用，那就不要把端口暴露到公网，要可识别来源的 VPN 类方案。

[PUBG98k]

可以试试 ToDesk

[wevsty]

针对楼主的问题，还是用 FRP 自带的 STCP 比较好。

@LeeReamond

推广一下： https://github.com/wevsty/RDPBlocker
逃。

[realpg]

@selca #2
基本啥端口过一阵子都会挨扫

[laqow]

目前是 frp 开放一个机场的服务端端口，通过飞机代理连内网再连 RDP，这样开放到外网只是一个没有特征的机场的端口。暂时没发现有攻击。

[zlowly]

提醒一下，安全防护方面不要寄希望于简单的服务端口就能躲过端口扫描，即使普通的 nmap 之类的工具都可以通过端口的指纹识别判断服务甚至版本。

[Ansen]

我的也是，在 github 上找到了这个项目， 根据实际情况 block 一些国家的 IP 就好了，我是 block 的是 俄罗斯

https://github.com/iiiiiii1/Block-IPs-from-countries