Si tienes un Windows con [escritorio remoto](https://ginernet.com/es/doc/vps/escritorio-remoto-windows/) expuesto a internet, recibirá intentos de acceso desde el primer día. El puerto **3389** (RDP) es de los más escaneados del mundo: redes de bots prueban usuarios y contraseñas a todas horas contra cualquier IP que responda. Estas son las medidas que más reducen el riesgo, ordenadas de más a menos eficaz. ## 1. Restringe quién puede conectarse (la medida más eficaz) Lo ideal es que el puerto RDP **no esté abierto a todo internet**, sino solo a las IPs desde las que trabajas. - **En un VPS de GINERNET, desde el firewall del Manager**: filtra fuera de la máquina, así que el tráfico no autorizado ni siquiera llega a Windows. Un VPS Windows nuevo arranca en modo protegido: se bloquea todo el tráfico entrante salvo el ping y RDP (TCP 3389), que queda abierto a cualquier origen para que puedas entrar la primera vez. Para limitarlo, abre la pestaña **Firewall** del VPS, edita esa regla, cambia el **Origen** a tu IP en formato CIDR (por ejemplo `203.0.113.10/32`) y pulsa **Aplicar**. Si te conectas desde varias sedes, crea un **IP set** con todas tus IPs (en *IP MANAGEMENT › IP Sets*) y úsalo como origen. - **En el firewall de Windows**, como segunda capa: abre `wf.msc`, busca las reglas de entrada de **Escritorio remoto** (*Remote Desktop*, ya que la plantilla de GINERNET viene en inglés) y, en la pestaña **Ámbito** (*Scope*), limita las direcciones IP remotas a las tuyas. - **Si tu IP cambia** (conexiones domésticas o móviles), usa una VPN con IP fija, por ejemplo [WireGuard en un VPS Linux](https://ginernet.com/es/doc/vps/crea-tu-servidor-vpn-con-wireguard/) pequeño. Te conectas a la VPN y permites RDP solo desde la IP de ese VPS. Si eso no es viable, la siguiente medida es imprescindible. :::tip Antes de restringir el origen, comprueba tu IP pública actual (por ejemplo, buscando «cuál es mi IP»). Si te equivocas no pasa nada grave: el firewall del Manager se corrige desde el panel aunque no puedas entrar en el servidor. ::: ## 2. Bloquea la fuerza bruta automáticamente con RdpGuard Si no puedes cerrar RDP a unas pocas IPs (usuarios con IP dinámica, teletrabajo, gente que se conecta desde cualquier sitio), te recomendamos instalar [RdpGuard](https://rdpguard.com/es/). Es un sistema de prevención de intrusiones para Windows, el equivalente a Fail2Ban en Linux: vigila los inicios de sesión fallidos y **bloquea automáticamente la IP** que supera el número de intentos que configures, durante el tiempo que elijas. - Funciona como servicio de Windows, así que protege el servidor aunque no tengas ninguna sesión abierta. - Bloquea a través de la Windows Filtering Platform: no depende de que el firewall de Windows esté activo. - **IP Cloud** bloquea de antemano IPs que ya han atacado a otros servidores con RdpGuard, antes de su primer intento, y **Geo-IP** permite aceptar conexiones solo desde los países que elijas: útil si tu IP es dinámica pero siempre te conectas desde España. Ambos servicios requieren el mantenimiento de la licencia al día (el primer año va incluido). - Además de RDP protege otros servicios del mismo servidor, como MS SQL Server, MySQL, FTP, correo (SMTP, IMAP y POP3), IIS u OpenSSH. Es software comercial, con licencia única por servidor y **30 días de prueba gratuita** con todas las funciones. Descárgalo desde su [web oficial](https://rdpguard.com/download.aspx); funciona en Windows 10 y 11 y en Windows Server de 64 bits. :::warning Nada más instalarlo, añade tus IPs de confianza a la lista blanca (menú **Tools › Whitelist**) para que un error al teclear la contraseña no te bloquee a ti. Si te ocurre, entra por la **Consola VNC** del Manager y desbloquea tu IP desde RdpGuard. ::: ## 3. Contraseña fuerte y límite de intentos La mayoría de los accesos indebidos por RDP empiezan por una contraseña débil o reutilizada. Usa una contraseña **larga** (16 caracteres o más) y única para ese equipo; un gestor de contraseñas ayuda. Si se conectan varias personas, que cada una tenga su usuario, y desactiva las cuentas que no uses. En un VPS Windows de GINERNET eliges el nombre del usuario administrador al crearlo (el Manager no admite nombres previsibles como `admin` o `administrator`) y la contraseña inicial es aleatoria, de 16 caracteres. Si la cambias, no bajes de esa longitud. Windows también puede **bloquear temporalmente una cuenta** tras varios intentos fallidos. Comprueba la política desde un terminal como administrador con `net accounts` (líneas *Lockout threshold*, *Lockout duration* y *Lockout observation window*). Si el umbral es `Never`, aplica la recomendación de Microsoft: bloqueo tras 10 intentos fallidos en 10 minutos, durante 10 minutos. ``` net accounts /lockoutthreshold:10 /lockoutwindow:10 /lockoutduration:10 ``` :::info Mientras RDP esté abierto a todo internet, los bots pueden mantener tu cuenta bloqueada a base de intentos fallidos. Restringir el origen (punto 1) lo evita, y también RdpGuard si configuras su umbral por debajo del de Windows (por ejemplo, 5 intentos): así bloquea la IP atacante antes de que se bloquee tu cuenta. ::: ## 4. Mantén NLA activada Con **NLA** (autenticación a nivel de red), Windows exige autenticarse antes de crear la sesión gráfica. Así reduce la exposición a ataques automatizados y a vulnerabilidades previas a la autenticación, como BlueKeep. Viene activada por defecto en Windows 11 y en Windows Server; compruébalo en **Configuración → Sistema → Escritorio remoto** (la opción de requerir que los dispositivos usen autenticación a nivel de red) o, en cualquier versión, con `sysdm.cpl` → pestaña **Remoto**. ## 5. Mantén Windows actualizado Los fallos graves de RDP de los últimos años ya tenían parche cuando empezaron los ataques masivos: BlueKeep (CVE-2019-0708) se corrigió en mayo de 2019 y los ataques a gran escala llegaron meses después, contra equipos sin actualizar. Deja Windows Update activado y, en un servidor, configura las **horas activas** para que los reinicios caigan en una franja de poco uso. ## 6. Cambia el puerto RDP (opcional) Cambiar el 3389 por otro puerto no frena a un atacante que te busque a ti, pero reduce mucho el ruido de los escaneos automáticos: menos intentos fallidos, menos bloqueos de cuenta y logs más limpios. Complementa a las medidas anteriores, no las sustituye. En un VPS de GINERNET el puerto nuevo tiene que abrirse **en dos firewalls**: el del Manager y el de Windows. En el ejemplo usamos el 3390; un puerto menos obvio (entre 10000 y 49151) recibe todavía menos escaneos. Sigue este orden: **Paso 1. Abre el puerto nuevo en el firewall del Manager.** En la pestaña **Firewall** del VPS crea una regla de entrada que acepte TCP en el puerto destino `3390` (limitada a tu IP si puedes) y pulsa **Aplicar**. No borres todavía la regla del 3389. **Paso 2. Ábrelo también en el firewall de Windows**, desde un terminal como administrador (sirve PowerShell o CMD): ``` netsh advfirewall firewall add rule name=RDP-3390-TCP dir=in action=allow protocol=TCP localport=3390 netsh advfirewall firewall add rule name=RDP-3390-UDP dir=in action=allow protocol=UDP localport=3390 ``` **Paso 3. Cambia el puerto de escucha** en el registro: ``` reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 3390 /f ``` **Paso 4. Reinicia Windows** con `shutdown /r /t 0` (o desde el Manager). La sesión RDP se cortará. **Paso 5. Conéctate indicando el puerto**: `IP:3390` en `mstsc` o en Windows App. **Paso 6. Cierra el puerto antiguo.** Cuando hayas comprobado que entras por el nuevo, elimina la regla del 3389 en el firewall del Manager y pulsa **Aplicar**. :::warning Respeta el orden: primero abre el puerto nuevo en los dos firewalls y después cambia el registro. Si Windows pasa a escuchar en un puerto que alguno de los firewalls no deja pasar, perderás el acceso por RDP y tendrás que entrar por la consola (ver el apartado siguiente). ::: :::tip El Manager abre RDP solo por TCP, y con eso basta. Si además abres **UDP** en el mismo puerto (la segunda regla de Windows ya lo permite), el cliente podrá usar transporte UDP, que suele ir más fluido en conexiones con pérdidas o mucha latencia. ::: ## Si te quedas fuera - La **Consola VNC** del Manager (botón **Abrir consola** en la ficha del VPS) muestra la pantalla del servidor sin pasar por RDP. Desde ahí puedes volver al puerto 3389 (el mismo `reg add` con `/d 3389`), revisar el firewall de Windows o desbloquear tu IP en RdpGuard, y reiniciar. - Las reglas del **firewall del Manager** se editan desde el panel aunque no puedas entrar en el servidor. - Si has perdido la contraseña, puedes **regenerarla desde el Manager**; necesita que el QEMU Guest Agent siga funcionando dentro de Windows. ## Checklist final | Medida | Contra qué protege | |---|---| | Acceso restringido por IP o VPN | Escaneos, fuerza bruta y exploits desde orígenes no autorizados | | RdpGuard | Fuerza bruta desde IPs cambiantes y bloqueos de tu cuenta | | Contraseña larga y única | Contraseñas adivinadas o filtradas | | Bloqueo de cuenta tras intentos fallidos | Fuerza bruta sostenida contra una cuenta | | NLA activada | Ataques previos a la autenticación | | Windows actualizado | Vulnerabilidades conocidas | | Puerto cambiado | Ruido de escaneos masivos | En un [VPS Windows de GINERNET](https://ginernet.com/es/vps-windows/) puedes aplicar esta checklist desde el primer día: RDP preparado durante el aprovisionamiento, firewall externo gestionable desde el Manager con reglas por IP de origen y consola VNC para recuperar el acceso si algo sale mal. Para las medidas generales de cualquier servidor, consulta también [cómo proteger un servidor](https://ginernet.com/es/doc/vps/como-proteger-un-servidor/).