NLA 与 RDP 安全层
网络级身份验证（NLA）让 RDP 在建立会话之前先完成用户认证，认证不过的连接连登录界面都拿不到，因此能挡掉大量扫描与爆破，也节省服务器为未认证连接分配会话资源的开销。安全层决定 RDP 流量怎么加密：SecurityLayer=2 表示使用 TLS，证书可以是自签的，也可以是内部 CA 签发的。两项配合才是完整的远程桌面加固。
基本信息
| 适用平台 | Windows Server 2008 R2 及以上（NLA 默认启用） |
|---|---|
| 注册表位置 | HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp |
| 关键值 | UserAuthentication=1 启用 NLA；SecurityLayer=2 使用 TLS |
| 策略入口 | 计算机配置 → 管理模板 → 远程桌面服务 → 远程桌面会话主机 → 安全 |
| 生效方式 | 改注册表后需重启 TermService 或重启系统 |
典型使用场景
- 服务器暴露在准公网或办公网：必须开启 NLA，降低爆破成功率与资源消耗
- 报“远程计算机要求网络级身份验证”但又连不上：多为凭据或域信任问题，而非服务器故障
- 瘦客户机/老旧系统连不上：确认客户端是否支持 NLA，必要时评估降级风险
- 企业统一体验：用内部 CA 签发证书替换自签证书，消除“证书不受信任”提示
- 审计要求加密远程管理：确认 SecurityLayer 使用 TLS 而非协商降级
常用示例
常用示例
# 查看当前 NLA 与安全层配置
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' |
Select-Object UserAuthentication, SecurityLayer, PortNumber
# 强制启用 NLA
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
# 让设置立即生效
Restart-Service TermService -Force关键值读法
| 配置项 | 取值 | 含义 |
|---|---|---|
| UserAuthentication | 0 / 1 | 0 关闭 NLA（不推荐），1 要求先认证 |
| SecurityLayer | 0 / 1 / 2 | 0 协商、1 RDP 加密、2 TLS，建议 2 |
| PortNumber | 默认 3389 | 改端口只是减少扫描噪音，不构成安全措施 |
| 证书指纹 | SelfSigned 或 CA 证书 | 自签会触发客户端警告，企业内用 CA 签发 |
“证书不受信任，是否继续连接”几乎都是自签证书导致。做法不是让用户点“是”，而是让内部 CA 签发含正确主机名的证书并导入到“远程桌面”用途，客户端信任根证书后提示自然消失。
关闭 NLA 会显著扩大攻击面：未认证连接就能占用会话与服务端资源，还会把登录界面暴露给扫描器。除非有明确的兼容性要求，否则不要为个别老客户端全局降级。