Windows 2012服务器远程桌面服务安全加固

安装远程服务器连接角色

2012默认没有安装远程桌面服务器角色，先安装。

禁用默认管理员账号的远程桌面连接

打开用户与计算机，右键默认管理员Administrator，选择如下确定。

客户端输入run > mstsc 打开远程桌面连接程序，输入服务器名称和administrator尝试登录，则会显示如下。

修改远程桌面默认端口3389

修改注册表如下两项：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp下的portnumber为其他数字，比如10000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp下的portnumber.

注意修改端口后需要重启服务器才能生效。
客户端访问时，需要指定端口。

为了防止自动密码补充错误，不要勾选允许保存凭据。

对远程桌面登录的授权

默认情况下只有Administrators组用户具有远程桌面登录的权限，如果想授权其他用户，需要在本地安全策略中添加用户。比如添加remote desktop users组，然后在该组下创建普通用户。

可以在电脑属性中，点击远程设置

远程选项卡中勾选允许远程连接到此计算机

上面的框去掉，因为会发生身份验证错误，要求的函数不受支持报错。
如下图

点击选择用户，添加要远程桌面访问的用户

前提：这些用户必须在remote desktop users组中或在本地安全策略中允许这些用户访问或本身是管理员，否则会报如下错误。

远程桌面会话连接设置

限制远程桌面会话的连接数，会话时间，中断的设置。

最大连接设置

输入gpedit.msc, 打开本地组策略 > 计算机配置 > 管理模板 > Windows 组件 > 远程桌面服务 > 远程桌面会话主机 > 连接

结束已断开的会话

空闲会话时间限制

活动会话时间限制

达到会话限制或连接中断时结束会话