تأمين سيرفر ويندوز: تغيير منفذ سطح المكتب البعيد، والجداران، والسماح لعنوانك فقط، وقفل الحساب ضد التخمين

سيرفر ويندوز المتصل بالإنترنت يتلقى محاولات دخول من برامج تخمين آلية تجرّب كلمات مرور على منفذ سطح المكتب البعيد بلا توقف. هذا الدليل يضيف أربع طبقات حماية بخطوات مجرّبة على سيرفر Windows Server 2025 حقيقي من مرام: منفذ غير متوقَّع، وجداران لا يمرّ منهما إلا ما تسمح به، والسماح لعنوانك وحده عند الحاجة، وقفل الحساب بعد المحاولات الخاطئة. وفي الختام تغيير كلمة المرور من اللوحة.

لماذا المنفذ مهم؟

برامج التخمين تفحص الإنترنت كله بحثًا عن المنفذ 3389، وهو المنفذ الافتراضي لسطح المكتب البعيد، ثم تجرّب عليه آلاف كلمات المرور. لذلك تأتي سيرفرات ويندوز في مرام على منفذ آخر (44389 في القالب الحالي، كما في دليل الاتصال). يمكنك تغييره إلى رقم خاص بك بين 10000 و65000، فيصبح سيرفرك أصعب إيجادًا. تغيير المنفذ لا يغني عن كلمة مرور قوية، لكنه يقلّل الضجيج كثيرًا.

الخطوة 1: غيّر المنفذ داخل ويندوز

اخترنا المنفذ 45678 للتجربة. الترتيب مهم: القاعدة في جدار ويندوز أولًا، ثم إعادة تشغيل الخدمة.

$k = 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp'
(Get-ItemProperty $k).PortNumber                          # المنفذ الحالي
Set-ItemProperty $k -Name PortNumber -Value 45678         # ضع رقمك
New-NetFirewallRule -DisplayName "RDP-45678" -Direction Inbound -Protocol TCP -LocalPort 45678 -Action Allow
Restart-Service TermService -Force                        # ستنقطع جلستك الحالية

عند إعادة تشغيل الخدمة تنقطع جلستك، وهذا متوقع. لا تحاول الاتصال بالمنفذ الجديد قبل الخطوة التالية، فلن ينجح.

الخطوة 2: افتح المنفذ في جدار اللوحة

هذه الخطوة ينساها الجميع. سيرفرك في مرام خلف جدارين: جدار ويندوز داخل السيرفر، وجدار اللوحة أمامه، وهذا الأخير يمنع كل منفذ لم تُنشئ له قاعدة. من صفحة الخدمة افتح Firewall ثم Create Firewall Rule:

ثم اختبر من جهازك. هكذا كانت النتيجة عندنا قبل قاعدة اللوحة وبعدها:

عندما تنجح النتيجة اتصل بالعنوان الجديد 203.0.113.19:45678 (ضع عنوان سيرفرك). وإن لم تنجح فادخل من كونسول المتصفح وتأكد من الرقم بأمر (Get-ItemProperty $k).PortNumber.

الخطوة 3: احذف القاعدة القديمة من الجدارين

بعد نجاح الدخول بالمنفذ الجديد، أغلق القديم حتى لا يبقى بابًا مفتوحًا بلا داعٍ: في جدار ويندوز احذف القاعدة القديمة، وفي صفحة Firewall باللوحة احذف قاعدتها بأيقونة سلة المهملات.

Remove-NetFirewallRule -DisplayName "RDP-44389"     # اسم قاعدتك القديمة
Get-NetFirewallRule -DisplayName "RDP-*" | Format-Table DisplayName, Enabled, Action

وبالواجهة: اكتب wf.msc في البحث لتفتح جدار ويندوز المتقدم، ومن Inbound Rules ترى القواعد، وتستطيع تعطيل أي قاعدة أو حذفها بزر يمين.

الخطوة 4: اسمح لعنوانك فقط (اختياري وقوي)

إن كنت تدخل دائمًا من عنوان ثابت (مكتب، أو سيرفر VPN خاص بك) فاجعل قاعدة سطح المكتب البعيد تقبله وحده، فيصبح المنفذ مغلقًا في وجه كل من سواك. جرّبناها: جهازنا المسموح اتصل، وسيرفر آخر لم يستطع:

Set-NetFirewallRule -DisplayName "RDP-45678" -RemoteAddress 198.51.100.7    # عنوانك
Set-NetFirewallRule -DisplayName "RDP-45678" -RemoteAddress Any             # للتراجع

• اعرف عنوانك من موقع مثل ifconfig.me من جهازك نفسه.
• عنوان الإنترنت المنزلي يتغيّر عادة. إن تغيّر فستُمنع أنت أيضًا، وحينها ادخل من كونسول المتصفح وأعد القاعدة إلى Any أو إلى عنوانك الجديد.
• الحل الأنظف: سيرفر VPN خاص بك بعنوان ثابت، تتصل به أولًا ثم تدخل ويندوز منه. ويمكنك أيضًا وضع العنوان في خانة Source بقاعدة اللوحة بدل جدار ويندوز.

الخطوة 5: قفل الحساب ضد التخمين

سياسة Account Lockout تقفل الحساب مؤقتًا بعد عدد من كلمات المرور الخاطئة، فيصبح التخمين بطيئًا جدًا وبلا فائدة. في سيرفرات مرام هي مفعّلة أصلًا، وتشمل حساب Administrator نفسه. جرّبناها على مستخدم تجريبي بعشر كلمات مرور خاطئة متتالية:

لتشديدها (5 محاولات، ثم قفل 30 دقيقة):

net accounts /lockoutthreshold:5 /lockoutwindow:30 /lockoutduration:30
net accounts | findstr /i lockout

• انتبه: القفل يصيبك أنت أيضًا إن أخطأت عدة مرات. انسخ كلمة المرور ولا تكتبها يدويًا، وإن قُفل حسابك فانتظر المدة ثم أعد المحاولة.
• من يحاول الدخول؟ افتح Event Viewer ثم Windows Logs ثم Security وابحث عن الحدث 4625 (محاولة فاشلة)، وستجد فيه اسم المستخدم وعنوان المصدر. أو بأمر واحد: Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20.
• إن رأيت آلاف المحاولات من عناوين مختلفة، فهذا وقت تغيير المنفذ أو السماح لعنوانك فقط.

الخطوة 6: كلمة مرور قوية، وتغييرها من اللوحة

كل ما سبق يبطئ المهاجم، أما كلمة المرور الطويلة فتجعل التخمين مستحيلًا عمليًا. غيّر كلمة المرور الأولى، واستعمل 20 حرفًا أو أكثر من حروف كبيرة وصغيرة وأرقام ورموز. أسهل طريقة: زر Change Password في صفحة الخدمة. جرّبناه على سيرفر ويندوز، فتغيّرت كلمة مرور Administrator داخل ويندوز خلال ثوانٍ، بلا إعادة تشغيل، وصار زر النسخ في اللوحة يعطي الجديدة.

التفاصيل وشروط الطول في دليل تغيير كلمة المرور من اللوحة. وإن غيّرتها من داخل ويندوز (Ctrl + Alt + End ثم Change a password) فاحفظها بنفسك، لأن اللوحة لا تعرفها.

ملخص الحماية

أسئلة شائعة