使用Windows本地安全策略限制Windows服务器桌面远程访问的IP

为保证服务器的操作被记录和有效的保护服务器操作的安全性，在公司搭建了一台堡垒机，但出现一个问题：

如果服务器管理员知道要访问的服务器的账号和密码时，可以直接从本机发起远程桌面连接（3389端口）来进行Windows服务器的操作，此时他的操作内容将不会被记录，这就存在很大的问题。

如何解决：

在服务器上配置IP访问策略，限制只有特定的IP可以访问本机的3389服务（桌面远程）。

解决方案：

①配置防火墙出入站策略

②配置本地安全策略

由于公司服务器还进行其他服务的支持工作，防火墙已经被关闭，于是选择方案二。

操作方法：（以Windows Server 2208 R2为例，其他系统操作均相似）

步骤一：

点击开始，选择管理工具，本地安全策略。

选择 IP安全策略，在本地计算机，右键选择管理IP筛选列表和 筛选器操作。

步骤二：

在 管理IP筛选列表和 筛选器操作 窗口中，选择管理筛选器操作窗口，并取消 使用“添加向导”勾选。

点击 添加，在安全方法窗口中选择 许可，常规窗口中选择 允许，点击确定，

同样的方法添加阻止和阻断。

步骤三：

在 管理IP筛选列表和 筛选器操作 窗口中，选择管理IP筛选列表 窗口，并点击 添加。

取消 使用”添加向导“勾选 ，名称填写 阻断所有IP远程桌面访问，点击 添加。

在IP筛选器属性窗口中，选择地址窗口 ，在源地址 选择任何IP地址，目的地址 选择我的IP地址，并取消 镜像 勾选。

在 协议 窗口，选择协议类型为 TCP,从任意端口，到此端口，3389，点击确定，在IP筛选器列表中继续点击 确定。

在 管理IP筛选列表和 筛选器操作 窗口中，选择管理IP筛选列表 窗口，并点击 添加。

名称填写 允许特定IP远程桌面访问，点击 添加

在IP筛选器属性窗口中，选择地址窗口 ，在源地址选择 一个特定的IP地址或子网，并填写允许访问的IP地址（192.168.0.251），目的地址 选择任何IP地址，并取消 镜像 勾选。

在 协议 窗口，选择协议类型为 TCP,从任意端口，到此端口，3389，点击确定，在IP筛选器列表中继续点击 确定。

如下图所示，已经配置好了管理IP筛选器和管理筛选器操作 内容了，点击关闭。

步骤四：

选择 IP安全策略，在本地计算机，右键选择 创建IP安全策略，点击下一步，

名称填写 远程桌面连接安全策略，点击下一步，

不勾选 激活，继续下一步，

勾选 编辑属性，点击完成。

在远程桌面连接安全策略 窗口中，取消勾选使用”添加向导“，然后点击添加，

在新规则属性 窗口 的 IP筛选器列表 窗口 中 选择 阻断所有IP远程桌面访问。

在新规则属性 窗口 的 选器器操作 窗口 中 选择 阻断，点击 应用，再点击 确定

如下图所示，已经添加阻断所有用户远程桌面访问权限，

继续添加允许特定用户访问的权限，点击添加

在新规则属性 窗口 的 IP筛选器列表 窗口 中 选择 允许特定IP远程桌面访问。

在新规则属性 窗口 的 选器器操作 窗口 中 选择 允许，点击 应用，再点击 确定

所有安全策略配置完成，如下图所示，点击确定。

最后一步：在远程桌面连接安全策略 列表上右键 分配。

策略已指派属性显示 是 则表示 策略分配成功。

测试：未配置允许的IP的电脑，远程连接报错，允许的IP对应的电脑，可以正常远程连接。