Si tienes un Windows con escritorio remoto expuesto a internet, recibirá intentos de acceso desde el primer día. El puerto 3389 (RDP) es de los más escaneados del mundo: redes de bots prueban usuarios y contraseñas a todas horas contra cualquier IP que responda. Estas son las medidas que más reducen el riesgo, ordenadas de más a menos eficaz.
1. Restringe quién puede conectarse (la medida más eficaz)
Lo ideal es que el puerto RDP no esté abierto a todo internet, sino solo a las IPs desde las que trabajas.
- En un VPS de GINERNET, desde el firewall del Manager: filtra fuera de la máquina, así que el tráfico no autorizado ni siquiera llega a Windows. Un VPS Windows nuevo arranca en modo protegido: se bloquea todo el tráfico entrante salvo el ping y RDP (TCP 3389), que queda abierto a cualquier origen para que puedas entrar la primera vez. Para limitarlo, abre la pestaña Firewall del VPS, edita esa regla, cambia el Origen a tu IP en formato CIDR (por ejemplo
203.0.113.10/32) y pulsa Aplicar. Si te conectas desde varias sedes, crea un IP set con todas tus IPs (en IP MANAGEMENT › IP Sets) y úsalo como origen. - En el firewall de Windows, como segunda capa: abre
wf.msc, busca las reglas de entrada de Escritorio remoto (Remote Desktop, ya que la plantilla de GINERNET viene en inglés) y, en la pestaña Ámbito (Scope), limita las direcciones IP remotas a las tuyas. - Si tu IP cambia (conexiones domésticas o móviles), usa una VPN con IP fija, por ejemplo WireGuard en un VPS Linux pequeño. Te conectas a la VPN y permites RDP solo desde la IP de ese VPS. Si eso no es viable, la siguiente medida es imprescindible.
Antes de restringir el origen, comprueba tu IP pública actual (por ejemplo, buscando «cuál es mi IP»). Si te equivocas no pasa nada grave: el firewall del Manager se corrige desde el panel aunque no puedas entrar en el servidor.
2. Bloquea la fuerza bruta automáticamente con RdpGuard
Si no puedes cerrar RDP a unas pocas IPs (usuarios con IP dinámica, teletrabajo, gente que se conecta desde cualquier sitio), te recomendamos instalar RdpGuard. Es un sistema de prevención de intrusiones para Windows, el equivalente a Fail2Ban en Linux: vigila los inicios de sesión fallidos y bloquea automáticamente la IP que supera el número de intentos que configures, durante el tiempo que elijas.
- Funciona como servicio de Windows, así que protege el servidor aunque no tengas ninguna sesión abierta.
- Bloquea a través de la Windows Filtering Platform: no depende de que el firewall de Windows esté activo.
- IP Cloud bloquea de antemano IPs que ya han atacado a otros servidores con RdpGuard, antes de su primer intento, y Geo-IP permite aceptar conexiones solo desde los países que elijas: útil si tu IP es dinámica pero siempre te conectas desde España. Ambos servicios requieren el mantenimiento de la licencia al día (el primer año va incluido).
- Además de RDP protege otros servicios del mismo servidor, como MS SQL Server, MySQL, FTP, correo (SMTP, IMAP y POP3), IIS u OpenSSH.
Es software comercial, con licencia única por servidor y 30 días de prueba gratuita con todas las funciones. Descárgalo desde su web oficial; funciona en Windows 10 y 11 y en Windows Server de 64 bits.
Nada más instalarlo, añade tus IPs de confianza a la lista blanca (menú Tools › Whitelist) para que un error al teclear la contraseña no te bloquee a ti. Si te ocurre, entra por la Consola VNC del Manager y desbloquea tu IP desde RdpGuard.
3. Contraseña fuerte y límite de intentos
La mayoría de los accesos indebidos por RDP empiezan por una contraseña débil o reutilizada. Usa una contraseña larga (16 caracteres o más) y única para ese equipo; un gestor de contraseñas ayuda. Si se conectan varias personas, que cada una tenga su usuario, y desactiva las cuentas que no uses.
En un VPS Windows de GINERNET eliges el nombre del usuario administrador al crearlo (el Manager no admite nombres previsibles como admin o administrator) y la contraseña inicial es aleatoria, de 16 caracteres. Si la cambias, no bajes de esa longitud.
Windows también puede bloquear temporalmente una cuenta tras varios intentos fallidos. Comprueba la política desde un terminal como administrador con net accounts (líneas Lockout threshold, Lockout duration y Lockout observation window). Si el umbral es Never, aplica la recomendación de Microsoft: bloqueo tras 10 intentos fallidos en 10 minutos, durante 10 minutos.
net accounts /lockoutthreshold:10 /lockoutwindow:10 /lockoutduration:10
Mientras RDP esté abierto a todo internet, los bots pueden mantener tu cuenta bloqueada a base de intentos fallidos. Restringir el origen (punto 1) lo evita, y también RdpGuard si configuras su umbral por debajo del de Windows (por ejemplo, 5 intentos): así bloquea la IP atacante antes de que se bloquee tu cuenta.
4. Mantén NLA activada
Con NLA (autenticación a nivel de red), Windows exige autenticarse antes de crear la sesión gráfica. Así reduce la exposición a ataques automatizados y a vulnerabilidades previas a la autenticación, como BlueKeep. Viene activada por defecto en Windows 11 y en Windows Server; compruébalo en Configuración → Sistema → Escritorio remoto (la opción de requerir que los dispositivos usen autenticación a nivel de red) o, en cualquier versión, con sysdm.cpl → pestaña Remoto.
5. Mantén Windows actualizado
Los fallos graves de RDP de los últimos años ya tenían parche cuando empezaron los ataques masivos: BlueKeep (CVE-2019-0708) se corrigió en mayo de 2019 y los ataques a gran escala llegaron meses después, contra equipos sin actualizar. Deja Windows Update activado y, en un servidor, configura las horas activas para que los reinicios caigan en una franja de poco uso.
6. Cambia el puerto RDP (opcional)
Cambiar el 3389 por otro puerto no frena a un atacante que te busque a ti, pero reduce mucho el ruido de los escaneos automáticos: menos intentos fallidos, menos bloqueos de cuenta y logs más limpios. Complementa a las medidas anteriores, no las sustituye.
En un VPS de GINERNET el puerto nuevo tiene que abrirse en dos firewalls: el del Manager y el de Windows. En el ejemplo usamos el 3390; un puerto menos obvio (entre 10000 y 49151) recibe todavía menos escaneos. Sigue este orden:
Paso 1. Abre el puerto nuevo en el firewall del Manager. En la pestaña Firewall del VPS crea una regla de entrada que acepte TCP en el puerto destino 3390 (limitada a tu IP si puedes) y pulsa Aplicar. No borres todavía la regla del 3389.
Paso 2. Ábrelo también en el firewall de Windows, desde un terminal como administrador (sirve PowerShell o CMD):
netsh advfirewall firewall add rule name=RDP-3390-TCP dir=in action=allow protocol=TCP localport=3390
netsh advfirewall firewall add rule name=RDP-3390-UDP dir=in action=allow protocol=UDP localport=3390
Paso 3. Cambia el puerto de escucha en el registro:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 3390 /f
Paso 4. Reinicia Windows con shutdown /r /t 0 (o desde el Manager). La sesión RDP se cortará.
Paso 5. Conéctate indicando el puerto: IP:3390 en mstsc o en Windows App.
Paso 6. Cierra el puerto antiguo. Cuando hayas comprobado que entras por el nuevo, elimina la regla del 3389 en el firewall del Manager y pulsa Aplicar.
Respeta el orden: primero abre el puerto nuevo en los dos firewalls y después cambia el registro. Si Windows pasa a escuchar en un puerto que alguno de los firewalls no deja pasar, perderás el acceso por RDP y tendrás que entrar por la consola (ver el apartado siguiente).
El Manager abre RDP solo por TCP, y con eso basta. Si además abres UDP en el mismo puerto (la segunda regla de Windows ya lo permite), el cliente podrá usar transporte UDP, que suele ir más fluido en conexiones con pérdidas o mucha latencia.
Si te quedas fuera
- La Consola VNC del Manager (botón Abrir consola en la ficha del VPS) muestra la pantalla del servidor sin pasar por RDP. Desde ahí puedes volver al puerto 3389 (el mismo
reg addcon/d 3389), revisar el firewall de Windows o desbloquear tu IP en RdpGuard, y reiniciar. - Las reglas del firewall del Manager se editan desde el panel aunque no puedas entrar en el servidor.
- Si has perdido la contraseña, puedes regenerarla desde el Manager; necesita que el QEMU Guest Agent siga funcionando dentro de Windows.
Checklist final
| Medida | Contra qué protege |
|---|---|
| Acceso restringido por IP o VPN | Escaneos, fuerza bruta y exploits desde orígenes no autorizados |
| RdpGuard | Fuerza bruta desde IPs cambiantes y bloqueos de tu cuenta |
| Contraseña larga y única | Contraseñas adivinadas o filtradas |
| Bloqueo de cuenta tras intentos fallidos | Fuerza bruta sostenida contra una cuenta |
| NLA activada | Ataques previos a la autenticación |
| Windows actualizado | Vulnerabilidades conocidas |
| Puerto cambiado | Ruido de escaneos masivos |
En un VPS Windows de GINERNET puedes aplicar esta checklist desde el primer día: RDP preparado durante el aprovisionamiento, firewall externo gestionable desde el Manager con reglas por IP de origen y consola VNC para recuperar el acceso si algo sale mal. Para las medidas generales de cualquier servidor, consulta también cómo proteger un servidor.