配置远程桌面（RDP）服务连接的安全设置

1. Configure Server Authentication and Encryption Levels2. Configure Network Level Authentication for Remote Desktop Services Connections3. Configure Client Logon Information for Remote Desktop Services Connections4. Configure Permissions for Remote Desktop Services Connections5. SSL模式下记录RDP来源IP

1. 协商(默认设置): 协商方法强制执行的客户端程序支持的最安全方法1) 如果客户端支持传输层安全(TLS)版本 1.0，它用于 RD 会话主机服务器验证身份(这种情况下system event log里未记录登录失败者的来源IP)2) 如果客户端不支持 TLS，将采用RDP安全层进行加密2. RDP security: RDP 方法使用本机 RDP 加密安全客户端和 RD 会话主机服务器之间的通信，在这个模式下，system event log里正常记录登录失败者的来源IP，我们可以通过syslogevent事件回调实时获取登录失败事件3. SSL: SSL 方法要求使用 TLS 1.0 对会话主机服务器进行身份验证。如果不支持 TLS，则连接将失败 

RDP securityRegistry Hive    HKEY_LOCAL_MACHINERegistry Path    SOFTWAREPoliciesMicrosoftWindows NTTerminal ServicesValue Name    SecurityLayerValue Type    REG_DWORDValue    0协商 Registry Hive    HKEY_LOCAL_MACHINERegistry Path    SOFTWAREPoliciesMicrosoftWindows NTTerminal ServicesValue Name    SecurityLayerValue Type    REG_DWORDValue    1SSL Registry Hive    HKEY_LOCAL_MACHINERegistry Path    SOFTWAREPoliciesMicrosoftWindows NTTerminal ServicesValue Name    SecurityLayerValue Type    REG_DWORDValue    2

1. FIPS Compliant: This level encrypts and decrypts data sent from the client to the server andfrom the server to the client byusing Federal Information Process Standard (FIPS) 140-1 validated encryption methods. Clients that donot support this level of encryption cannot connect.2. High: This level encrypts data sent from the client to the server andfrom the server to the client byusing 128-bit encryption. Use this level when the RD Session Host server is running in an environment containing 128-bit clients only (such as Remote Desktop Connection clients). Clients that donot support this level of encryption will not be able to connect.3. Client Compatible(默认设置): This is the default setting. This level encrypts data sent between the client and the server at the maximum key strength supported by the client. Use this level when the RD Session Host server is running in an environment containing mixed or legacy clients.4. Low: This level encrypts data sent from the client to the server byusing 56-bit encryption. Data sent from the server to the client isnot encrypted.

gpedit.msc 打开  计算机配置->管理模板->windows组件->远程桌面服务->远程桌面会话主机->安全

This is because client authenticating via network logon. 配置了SSL模式后，系统的验证将由网络验证模块完成，而不再通过RDP模块

gpedit.msc 打开  计算机配置->管理模板->windows组件->远程桌面服务->远程桌面会话主机->安全将远程(RDP)连接要求使用指定的安全层显式地修改为"RDP安全层"

(Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace rootcimv2terminalservices -Filter "TerminalName='RDP-tcp'").SetSecurityLayer(0) (Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace rootcimv2terminalservices -Filter "TerminalName='RDP-tcp'")

Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows NTTerminal Services]"SecurityLayer"=dword:00000000//0代表RDP security

Set-ItemPropertyHKCU:SOFTWAREPoliciesMicrosoftWindowsNTTerminalServicesSecurityLayer0 -type REG_Dword