启用网络级身份验证（NLA）是远程桌面安全加固的核心措施，要求客户端在建立RDP会话前完成身份验证，防范暴力破解等攻击；需通过组策略启用NLA并设加密级别为“高”，强化账户密码策略、访问控制及防火墙配置。
启用网络级身份验证（NLA）
nla 是远程桌面连接中最关键的安全加固措施。它要求客户端在建立完整 rdp 会话前完成身份验证，能有效阻止暴力破解、中间人试探和资源耗尽攻击。
配置方式如下：
- 以管理员身份运行 gpedit.msc 打开本地组策略编辑器
- 导航至：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全
- 双击“要求使用网络级别的身份验证对远程连接的用户进行身份验证”，设为已启用
- 该策略依赖 CredSSP 协议，客户端需为 Windows Vista 及以上系统（或安装 KB2830477 补丁的旧系统）
设置高强度加密级别
RDP 默认使用 128 位加密，但若未显式配置策略，部分环境可能降级为兼容模式。为确保端到端强加密，建议强制设定为“高”级别。
操作路径：
- 在同一组策略路径下（安全子项），找到“设置客户端连接加密级别”
- 选择已启用，并将加密级别下拉菜单设为高
- 注意：“高”仅支持 128 位加密，不兼容 Windows XP 之前的终端或极老旧瘦客户机；如确需兼容，可选“客户端兼容”，但会牺牲部分安全性
强化账户与访问控制
再强的协议也挡不住弱口令或权限泛滥。NLA 启用后，系统会自动拒绝空密码账户，但仍需人工落实基础防护。
- 被控端账户必须设置至少 8 位含大小写字母、数字及符号的密码（推荐 12 位以上）
- 目标用户须加入 Remote Desktop Users 本地组（可通过 lusrmgr.msc 添加）
- 禁用默认 Administrator 账户，改用命名管理员账号；高敏系统建议配合 Microsoft Authenticator 实现条件访问
- 可在“本地安全策略”（secpol.msc）中配置账户锁定策略：5 次失败后锁定 30 分钟
补充防火墙与服务校验
策略生效 ≠ 连接可用。还需确认底层服务运行正常、端口可达、无策略冲突。
- 执行 gpupdate /force 刷新策略，等待提示“计算机策略更新成功”
- 检查三项核心服务状态：Remote Desktop Configuration、Remote Desktop Services、Remote Desktop Services UserMode Port Redirector（均需“正在运行”）
- 防火墙必须放行 TCP 3389 入站规则；若使用第三方防火墙或企业网关，需同步开通
- 避免与 WinRM 策略冲突：RDP 使用 CredSSP，WinRM 默认也用 CredSSP，但二者认证上下文独立，无需额外协调
