Windows Server 2022匿名RDP成功登录的安全性确认、复现方法及阻止方案咨询

你好，针对你遇到的这个ANONYMOUS LOGON的RDP成功登录日志问题，我来给你详细拆解下：

一、安全性确认：确实大概率无害 #

你查到的结论是对的，这类日志条目基本不需要担心。这并不是真正意义上的“匿名用户成功登录服务器”，而是RDP协议在建立连接过程中的预验证步骤：

• 当客户端发起RDP连接请求时，会先尝试匿名身份验证，目的是获取服务器的基础会话信息（比如登录界面配置、可用的身份验证方式等）
• 这个过程并没有赋予任何实际的系统访问权限，用户根本无法进入服务器桌面或执行操作
• IPBan没有触发拦截也从侧面证明这不是恶意攻击尝试，因为这类操作属于RDP协议的正常流程范畴

二、复现方法：模拟这个连接过程 #

你可以用本地的远程桌面工具轻松复现这个日志：

1. 打开Windows自带的远程桌面连接工具（按下Win+R，输入mstsc.exe回车）
2. 在弹出的窗口中输入你的服务器IP地址，直接点击「连接」（不用输入用户名和密码）
3. 当看到服务器的登录界面弹出后，直接关闭连接窗口
4. 去查看IPBan或系统的安全日志，就能找到类似的Login succeeded, address: [你的本地IP], user name: ANONYMOUS LOGON, source: RDP条目

三、阻止方案：按需调整配置 #

如果实在不想看到这类日志，或者想进一步加固RDP安全，可以试试这些方法：

• 启用网络级别身份验证（NLA）
  打开服务器的「系统属性」→「远程」选项卡，勾选「允许运行使用网络级别身份验证的远程桌面的计算机连接」。启用NLA后，客户端必须先完成身份验证才能获取服务器的登录界面，从根源上避免匿名预连接的产生。
• 通过组策略限制匿名访问
  打开本地组策略编辑器（按下Win+R，输入gpedit.msc回车），导航到计算机配置 > Windows设置 > 安全设置 > 本地策略 > 安全选项，找到「网络访问：不允许匿名枚举SAM账户和共享」并设置为「已启用」，可以限制匿名连接能获取的服务器信息。
• 防火墙限制RDP访问IP
  在Windows防火墙中创建入站规则，只允许你信任的IP地址访问RDP的默认端口3389，这样能大幅减少外部的无关连接尝试，自然也会减少这类日志的出现。

备注：内容来源于stack exchange，提问作者Lil Cyanide