RDP安全策略需分层控制：强制TLS 1.2+加密与证书验证、启用NLA认证、限制登录权限与暴露面、禁用空密码和默认端口、合理管控重定向与凭据保存，并适配Credential Guard及26Hx证书检查策略。

远程桌面 RDP 安全策略不是堆砌开关，而是分层控制：既要防外部攻击，又要管住内部误操作，还得兼顾运维效率。核心是“加密不妥协、认证不放水、访问有边界、凭据不裸奔”。

强制启用 TLS 1.2+ 加密与证书验证

RDP 默认加密强度不足，中间人攻击常从弱协议切入。必须关闭旧协议，绑定可信证书：

• 组策略路径：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全
• 启用“要求使用特定的安全层”，选TLS 1.2（禁用 SSL 和 RDP 旧加密）
• 启用“不允许 RDPLegacy 加密”，彻底切断 RC4 等已知漏洞通道
• 配置“为 RD 会话主机部署配置证书”，填入内网 CA 签发的服务器证书 Thumbprint，确保客户端只认这张“身份证”

收紧身份验证与登录权限

密码再强，如果账户权限过大或验证形同虚设，照样失守：

宝塔Linux面板11.3.0

宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。

下载

• 启用“要求使用网络级别身份验证（NLA）”，让认证发生在建立图形会话前，大幅降低暴力破解成功率
• 在“用户权限分配”中，仅向明确需要的组（如 RD-Users）授予“允许通过远程桌面服务登录”权限，删掉默认的 Everyone 或 Users
• 禁用空密码登录：组策略中找到“帐户：使用空密码的本地账户只允许进行控制台登录”，设为已禁用（测试环境除外）
• 避免使用 Administrator 账户直连，为远程访问单独建低权限运维账号

限制暴露面与连接行为

少一个端口、少一次连接、少一个设备，就少一分风险：

• 修改默认端口：注册表改 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber 为非标值（如 33890），并同步更新防火墙入站规则，禁用原 3389 规则
• 防火墙只放行必要 IP 段：高级安全防火墙中，为新 RDP 端口规则设置“作用域”，限定源 IP 为运维网段（如 10.10.20.0/24）
• 禁用不必要的重定向：组策略中关闭“允许驱动器重定向”“允许打印机重定向”，除非业务真需要；剪贴板可保留但需评估数据外泄风险
• 关闭“允许保存凭据”策略（计算机配置 → 管理模板 → 系统 → 凭据分配），防止凭据被恶意提取

应对 Credential Guard 与高版本拦截

Win10/11 企业版启用 Credential Guard 后，RDP 自动登录常被拦。这不是故障，是安全机制生效：

• 若确需免密登录，需权衡风险后关闭虚拟化安全：注册表中将 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\LsaCfgFlags 设为 0，并重启
• 更推荐替代方案：用 Windows 凭据管理器手动添加 RDP 凭据（类型选“通用凭据”，地址填 server.fqdn:33890），比自动保存更可控
• 对 26Hx 系统，启用“服务器身份验证证书检查→不显示警告”，前提是内网 CA 已预埋到所有客户端受信任根证书存储