端口映射 3389 到 5 位端口，一直在被爆破，怎么防护可以兼顾安全性跟便捷性？

[cy18]

日志管理看了下，24 小时大概有 3 万多条记录。大部分记录都在试 Administrator ，但显然我已经把 Administrator 禁用了。

之所以发现这个问题，是因为中午出去吃个饭，回来就发现账户被锁定无法登陆了。Windows 本地安全策略里面的锁定时间跟尝试次数已经改成 1 分钟 18 次了。虽然可以改大，但感觉改大之后只会让他们提高爆破强度...

有装 Zerotier ，但是有时候 Zerotier 会挂，所以还是保留了公网的端口。

现在的问题有两个，一个是会遇到账户被锁定，等一段时间才能登陆。第二个问题是虽然密码被破的概率不高，但是一直在被爆，总感觉不爽。由于 Windows 密码经常需要手动输入，不可能像一般网站密码搞得那么复杂。密码复杂程度一高，便捷性也就受影响了。万一密码出现在某个字典里，那麻烦就大了。

有没有什么办法可以兼顾安全性跟便捷性？

[Portalv]

不要暴露到公网，server 上弄个 vpn ，通过 vpn 来访问服务。

[newmlp]

vpn 连到内网再远程控制

[mohumohu]

Zerotier 会挂的可以自建 zerotier 。

[zhouu]

我是家里运行 ss server ，通过 clash/surge 通过规则配置走 ss ，安不安全不好说，但还没遇到暴力破解访问的

[luckyv2]

自建 tailscale+ rustdesk
主要通过 tailscale+rdp
出问题就 rustdesk

还有一个内网备选的 nps 一直运行，上面都不行然后 nps 使用 tcp 进去内网然后 rdp 在调试

[leefor2020]

我是路由器上起一个 IPSec 的服务，这些服务都不暴露到公网

[peasant]

看到这个贴子想起来我的远程端口也在开着，打开事件查看器看了下，昨天中午到现在，登录失败的记录有 31000 条

[wowpaladin]

ipsec vpn 或者 ssl vpn

[GoodRui]

@yagamil 早就不是这样了，N 多服务器，不管什么服务，只要映射到公网，不几天就全是各种爆破。都无语了。服务器业务端口全都是 4 5 万以上的，基本无一幸免。现在就靠强密码或者密钥来硬抗。什么 IP 白名单都没法弄，因为可能要多人访问，来源也不固定。

[hahiru]

zerotier+tailscale ，双重保障。

[cy18]

@GoodRui #29 他们手上的这些肉鸡 IP 估计就是这么扫出来的。肉鸡生肉鸡，肉鸡何其多。

[txj]

@amlee 装一个 cloudflared 就行了

[huahsiung]

我是加 vpn

但是还有其他两种简单方法

一个是微软的 rdp 协议强行验证信任的远程桌面证书，win10/server2012 以上都是 rdp over tls ，只是没有验证证书而已，第一次连接时候都要问你信不信任这个证书，强行验证这个可能要加域，不在域里面的无法连接，我没有试过。

还有一个，让扫描器扫描不到 rdp 服务就行了，一般扫描不到就不会爆破。传出的数据 xor 变化一下就行，实在不会加个 kcp-tunnel 也可以。会减少 99%的爆破

[eudemonwind]

理论上没事，win 系统只要一直跟着升级，开自动更新，在闹个 50 位的复杂密码，基本上爆不出来。
我一台 virjp 的小鸡 dd 了 win ，rdp 改了端口，在那放了一年，爆破日志十几个 G ，都没一点问题。还用的是默认 administrator 用户。实在不放心可以闹个火绒，管理下防火墙和出站连接，win 自带防火墙玩的溜的可以直接用自带防火墙替代火绒，搞个规则就行了。

[paranoiagu]

都 5 位数了，还一直被爆，这确实有点奇怪

[PrinceofInj]

映射成 22 试试看

[callmebigfaceman]

@paranoiagu 几位数都不行，我自己的也开了 5 位数端口。爆破从来没停止过，我用了笨方法，强密验证+登录短信告警。。目前还正常。🤣

[jianyang]

设置个简单的密码方便自己、防火墙设置入站 IP 拒绝小黑子

[tivizi]

我服务器目前都用的是 TCP over HTTP 的代理端口通过 HTTPS 映射到本地访问，很舒服。或者稍微复杂点上 WireGuard 之类的 VPN

[lovelylain]

运行 frps 和 frpc ，通过 stcp