通过使用防火墙限制 IP 地址来保护暴露的 RDP 服务器是否是一个有效的安全决策？

Question

众所周知，RDP for Windows 中不断出现新的安全漏洞。我已经搜索并阅读了有关此问题以及可能的修复程序/解决方案的信息。

令我惊讶的是，没有人提到将 Windows 防火墙中的 ip-scope 限制为一种可能的修复方法（以便只有您的 ip 可以连接到机器）。我想这是因为出于某种原因，这不是一个好的解决方案（我不是专家）。

所以我的问题是，这个解决方案有什么问题？

Answer 1

您没有将该建议视为潜在修复的部分原因是，这不是修复，而只是一种变通方法。通过以这种方式设置 IP 块，您将范围限制为类似于 VPN 服务器提供的范围，允许任何拥有正确凭据的人连接到它。它限制了漏洞的范围，但并不能缓解它。

失败模式是受信任的 IP 之一将被一些带有 RDP 漏洞扫描程序的恶意软件感染，然后您就可以参加比赛了。

但是，限制服务的 IP 范围会大大降低此问题的暴露程度！还是个好主意。

Answer 2

没什么，在适当的情况下。我们一直为客户做这件事。

当您没有意识到（或忘记）您已经设置了 IP 地址限制，并且您的最后一个（或唯一的）RDP 可访问 IP 地址发生更改时，问题就出现了——突然，您被锁定了，您可以不修复它（因为你被锁定了）。

我们通过将我们的员工 VPN 范围（这是 RFC1918，因此不太可能被强制重新编号）添加到所有客户服务器上允许的 IP 范围来解决工作中的问题，因此如果客户被锁定，他们可以随时给我们打电话来改变限制。我们还可以远程控制台访问所有内容（通过 VM 主机控制台或 iDRAC，取决于它是 VM 还是物理机，只能通过带有自己的冗余 VPN 集的带外后门网络访问-中介访问限制）。

但是，如果没有用于（重新）获得访问权限的带外机制，IP 地址限制总是存在将自己完全锁定的风险（并且，根据您的情况，可能无法挽回）。