远程桌面网关与跳板的思路

把 3389 端口直接暴露在公网上，等于把服务器大门挂到街上：扫描、弱口令爆破、漏洞利用会源源不断地找上门。正经做法是不暴露，通过中转进入，常见两种思路。 做法一：先进内网再远程 在办公网与服务器内网之间建立隧道（VPN 或云上内网互通），员工先连隧道拿到内网地址，再访问服务器的 3389。公网上完全看不到远程桌面端口，攻击面最小。代价是要维护一套隧道服务，小团队用云平台的内网互联方案，维护量并不大。 做法二：跳板机集中收口 只给一台跳板机开公网访问，端口改掉、来源 IP 白名单、账号失败锁定全部配齐；业务服务器的 3389 在 Windows 防火墙里把作用域限定为只允许跳板机的 IP。所有人先登录跳板，再从跳板跳到业务机，路径唯一，管理简单。跳板选一台独立的小规格机器专门承担，例如入门档的高防云服务器 S2，不与业务混部。 配套的三件小事 无论选哪种做法，配套动作别省：改默认端口，注册表 HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp 下的 PortNumber 改成高位端口，重启后生效；配置账号失败锁定，secpol.msc 里把锁定阈值设为 5 次、锁定 15 分钟；开启登录审核，安全日志里的 4624（成功）和 4625（失败）就是天然的登录台账。 审计的价值 集中收口最大的附加价值是审计。所有登录都经过跳板，在跳板上开启审核策略，记录"谁、什么时间、从哪个出口、连了哪台"，安全事件发生时能完整还原操作路径。3389 直连散落各机的环境里，这类问题基本无法回答。 落地顺序建议：先把业务机防火墙上 3389 的来源收紧到管理网段，再搭跳板并迁移使用习惯，最后关掉全部直连路径。跳板机本身要按最高标准维护并做好快照，它是唯一的门，门坏了所有人都进不来。