远程桌面怎么保护：VPN 还是其他访问方式

远程桌面的便利恰恰是它危险的原因。点一下就能完整控制一台 Windows 电脑，随时随地，所以攻击者花大量精力想从这里闯进来也就不奇怪了。多年来，把远程桌面端口直接开放到互联网上的电脑，一直是勒索软件和账号被盗最常见的起点之一，几乎每一份安全指南都是从同一条建议开头：不要直接暴露它。

这篇文章讨论接下来的选择：如果远程桌面不能面向公共互联网，那前面应该放什么？VPN 是传统答案，但不是唯一的答案，对某些团队甚至不是最好的。我们把 VPN 与网关、跳板机、基于身份的访问做对比，最后给出一份今天就能照做的加固清单。本文不涉及如何攻击或探测别人的系统。

为什么远程桌面是热门目标

远程桌面使用众所周知的协议和众所周知的端口，所以很容易被发现。自动化扫描器不停地扫遍整个互联网，把每台有回应的机器列成清单。接下来，同样的问题一再发生。

• 弱口令或重复使用的口令。 暴露在外的登录页面会被成千上万次地尝试，使用常见口令和已泄露口令的列表。只要有一个账号口令弱，迟早会被找到。
• 已知漏洞。 远程访问服务曾出现过严重漏洞，让攻击者在登录之前就能动手。没有打补丁、又能从互联网访问的主机就是目标。
• 权限过大。 许多用于远程桌面的账号是管理员。一旦凭据被盗，整台机器就失守了。
• 没有第二重验证。 传统设置只要用户名和口令。谁知道这两样，谁就能坐到你的办公桌前。
• 看不见发生了什么。 小办公室很少查看登录日志，成功的入侵可能持续数周才被发现。

这些问题都与会话本身的加密无关。协议本身是加密的。问题在于前门开在公共场所，锁只是一个口令，而门后的房间里放着整个网络其他一切的钥匙。

因此任何安全方案的目标都一样：把前门从公共互联网上撤下来，在人靠近门之前先查验身份，只给他们工作所需的访问范围，并把发生的事情记录下来。

方案一：在远程桌面前面放一台 VPN

使用 VPN 时，远程桌面端口从不对互联网发布。员工先连接办公室或 IT 服务商运行的 VPN 服务器，获得一个内部网络里的地址，然后才能用内部地址打开自己那台机器的远程桌面。

做得好的地方

• 让开放端口从公共扫描中消失。
• 加密远程用户到办公室之间的路径，在酒店和咖啡馆网络里同样有帮助。
• 有一个统一的地方设置登录规则，例如证书加第二重验证。
• 同时适用于多种应用，不止是远程桌面，还包括文件共享、打印机和内部网页工具。

不足之处

• VPN 是一座桥，不是过滤器。 连接之后，设备往往能看到整个内部网络。如果不另加规则，被攻陷的笔记本会把攻击者带到隧道后面的一切。
• VPN 服务器成了新的前门。 它必须打补丁、被监控，并用多因素登录保护，因为现在只有它面向互联网。
• 需要有人维护。 需要有人管理账号、证书和更新。小团队有时设置一次就忘了。
• 客户端的健康状况。 员工家里的电脑可能没人管理，带着恶意软件一起进入隧道。

如果你只有一个办公室、一个小团队，并且有人或服务商负责让 VPN 服务器保持更新，VPN 就很合适。阅读企业 VPN 与个人 VPN 的区别，了解为什么你为这项工作运行的 VPN，与手机上使用的面向个人的应用是不同的产品。

方案二：远程桌面网关

网关是一台通过 HTTPS 接收远程桌面会话并转发到内部的服务器。用户先登录网关，网关再检查策略，比如谁可以访问哪台机器、使用什么类型的设备，通过则转发会话。

做得好的地方

• 只有网关面向互联网，而不是每一台桌面。
• 策略与用户和目标机器绑定，能访问一台服务器的人不会自动访问另一台。
• 因为它在常用端口上使用 HTTPS，在会拦截其他类型流量的网络里也能工作。
• 可以和多因素登录以及每次会话的日志结合。

不足之处

• 它是为远程桌面设计的。如果员工还需要文件共享或内部网页应用，仍然要另有通路。
• 网关需要有效的证书、定期补丁和谨慎的配置。
• 配置不当的网关，可能变成比它所取代的东西更大的漏洞。

网关适合主要远程需求是访问少数几台 Windows 桌面或服务器、并且本来就运行 Windows 基础设施的公司。

方案三：跳板机（堡垒机）

跳板机是一台小而经过加固的机器，唯一的工作就是当垫脚石。用户先登录它，通常要经过多因素验证，再从那里打开到真实机器的会话。真实机器只接受来自跳板机地址的连接。

做得好的地方

• 攻击面很小，因为跳板机运行的服务很少。
• 有唯一的地方可以录制会话、查看谁连接过。
• 容易解释和审计：所有路都通过同一扇门。

不足之处

• 它是多出来的一台需要更新的机器，一旦被攻陷，攻击者就已经越过了第一道墙。
• 它给每个用户多加一步，容易诱使人们寻找捷径。
• 它保护进入机器的路径，但本身并不加密用户家庭网络到跳板机之间的路径，通常要与 VPN 或加密的网关协议搭配使用。

跳板机通常和其他层组合使用，而不是单独使用。在日常管理服务器的团队里很常见。

方案四：基于身份的访问（零信任）

基于身份的访问不是把用户放进网络，而是在每次请求时问另一个问题：这个人是谁，用的什么设备，这台机器此刻是否被允许访问这个应用？用户得到的是到某个应用或某台机器的连接，而不是整个网络。

做得好的地方

• 限制被盗账号或被攻陷笔记本所能访问的范围。
• 让设备本身变得重要：访问可以要求设备是已更新、受管理的。
• 适合云服务、办公室和居家办公混合的环境。
• 产生关于谁访问了什么的有用日志。

不足之处

• 需要身份系统和一定的规划，所以比开一台 VPN 费事。
• 对只有一个办公室、两台电脑的小公司，搭建成本可能不划算。
• 它并不能取代给目标机器打补丁。

这些原则在 NIST 的零信任架构文档中有说明，我们对零信任与 VPN的比较用通俗的语言讲了它们的区别。

四种方案对比

问题	VPN	网关	跳板机	基于身份的访问
让 RDP 离开开放的互联网	是	是	是	是
覆盖 RDP 以外的应用	是	多数不能	部分	是，按应用
被盗登录能访问什么	往往是整个网络	仅允许的机器	仅允许的机器	仅允许的应用
2 到 5 人的团队	合适	有时	很少	有时，托管服务
正在成长的公司	需要额外规则	良好	作为一层很好	很合适
维护工作量	中等	中等	中等	起步阶段中到高
典型弱点	背后是扁平网络	网关的补丁水平	跳板机的补丁水平	策略配置错误

没有哪个方案是魔法。正确的选择取决于有多少人连接、有多少机器，以及谁有时间维护。两个人的设计工作室和六十人的会计事务所，不应该得到同一个答案。

适用于所有方案的加固清单

无论远程桌面前面是什么，它后面的机器都需要同样的基础措施。

1. 不要把 RDP 端口发布到互联网上。 从外部确认，例如用不在你网络里的手机流量测试。关于端口发布如何工作以及为什么有风险，可以读VPN 端口转发详解。
2. 开启网络级别身份验证。 它要求用户在创建完整会话之前先通过验证，减少未验证访客能接触到的内容。
3. 在前门强制多因素登录，无论前门是 VPN、网关还是身份提供方。CISA 关于多因素认证的指南和我们关于双因素认证的文章解释了各种选择。
4. 使用唯一而且较长的口令，并取消共用账号。每个人都应该有自己的具名登录。
5. 限制谁可以使用远程桌面。 只允许某一个特定组的成员，管理员只在需要时才用单独的管理账号登录。
6. 尽快应用更新，尤其是操作系统、网关和 VPN 服务器。
7. 设置账号锁定规则，让反复输错口令的攻击者变慢。
8. 查看日志。 开启登录与失败的记录，并按计划查看。失败尝试突然激增本身就是有用的信息。
9. 在不需要的地方关闭剪贴板和驱动器重定向，避免会话随便带文件进出。
10. 离线备份。 万一真的出事，攻击者碰不到的备份能把灾难变成麻烦。

NIST 的远程办公安全指南阐述了这些措施背后的理由，想了解 VPN 一侧细节的读者可以看 NIST 的 IPsec VPN 指南。

三个情境与合理的答案

只有一台办公室电脑的两人设计工作室。 阿雅和汤姆想在家里连回工作室那台高性能电脑。最便宜又合理的答案，是在工作室路由器上设置 VPN，登录用第二重验证保护，远程桌面只能通过内部地址访问。他们每月更新路由器和电脑。尽管某个教程说很快就能做好，他们也不转发 RDP 端口。

有三台 Windows 服务器的二十人会计事务所。 员工需要会计软件和文件共享，老板担心客户数据。带多因素登录的网关让员工访问他们要用的具体服务器，VPN 则保留给打印机和共享磁盘。一名指定的合伙人每月收到异常登录的摘要。

有远程员工、笔记本型号各异的成长型公司。 开发、财务和客服人员分处不同国家，有人用个人设备。这里基于身份的访问，加上设备检查，可以避免让所有人处在同一个扁平网络里。远程桌面只保留给少数确有需要的场景，并放在同一个登录之后。

每个情境的模式都一样：缩小暴露面，强力核验身份，让每个人只拥有能完成工作的最小权限。

常见错误

• “只开一周”就转发 3389 端口。 临时规则出了名地会变成永久规则。把任何暴露的 RDP 都视为等待发生的事故。
• 以为用了 VPN 电脑就安全。 它只是把前门挪了位置，弱口令和未打补丁的主机仍然存在。
• 用面向个人的 VPN 应用，却指望访问办公室。 面向个人销售的 VPN 应用会让你的上网流量经过服务商，不会把你连接到你自己所在机构运行的网络。想访问自己的办公室，需要由办公室控制的 VPN 或网关。
• 共用一个管理员账号。 失去了责任追溯，无法分清谁做了什么。
• 忽视终端。 远程用户带着中毒的笔记本，可能把问题带进隧道。要保持客户端设备更新并受到保护。
• 跳过备份。 远程访问是勒索软件的常见路径，经过测试的离线备份才是真正的安全网。

总结

远程桌面不应该能从互联网直接访问。VPN 撤掉开放端口并加密路径，对小办公室来说是合理且熟悉的答案，但被盗的登录可能看到很大范围的内部网络。网关、跳板机和基于身份的访问各自缩小了用户能访问的范围和攻击者能利用的范围，代价是需要更多设计工作。无论选哪一种，都要加上多因素登录、具名账号、更新、锁定规则、日志和离线备份。

如果你想找一款在远程办公时用于公共网络的个人 VPN，可以在价格页面比较选项，同时记住它保护的是你自己的流量，并不能替代你所在机构运行的访问方案。