Comment sécuriser un serveur Windows ? : Cloud - VPS - Serveurs dédié
- 3389 : Bureau à distance mais vous devez l’avoir modifié (A ouvrir qu’aux IP externes choisies)
Bonjour @CordoWEB, cet article est très bien rédigé.
Concernant le firewall/3389 je ferais deux ajouts:
- si on a remplacé le port 3389 par 1664 ou un autre comme suggéré ci-dessus, la règle dans le firewall doit être adaptée,
- en cas d'erreur, et qu'on a perdu l'accès au serveur, les tutoriels de récupération en rescue pour Linux ne sont pas applicables.
Après il devient quoi ce petit tuto ? Poubelle ?
Hello @CordoWEB,
J'ai eu un retour des équipes que je te partage ci-dessous. Je t'invite à en prendre connaissance et à effectuer les updates et à répondre au thread dès que ce sera fait :).
1 Comment sécuriser un serveur Windows ? : Cloud - VPS - Serveurs dédié
Testé et validé.
Quelques petites modifications tout de même :
Modifier le port d’écoute du bureau à distance
/!\ Inviter le client a créer une nouvelle règle dans le Firewall AVANT de reboot le serveur => risque de se couper le lien et obliger de fix via la KVM.
Une fois ok, désactivation des règles par défaut pour le port 3389.
Bien configurer le pare-feu intégré
Ajout de la règle :
- 1688 : Key Management Service (TCP-In) => règle à activer si besoin (Accès au KMS Windows).
Idée supplémentaire : A tout cela, éventuellement ajouter un passage par l’installation d’un anti-virus complémentaire à celui de Windows (Windows Defender) au besoin (selon criticité de l’infra / data client).
^FabL
Ajout de la règle :
- 1688 : Key Management Service (TCP-In) => règle à activer si besoin (Accès au KMS Windows).
Pourquoi faire ? J'administre des centaines de serveurs Windows et je n'ai jamais activé ce port. Il sert éventuellement juste pour ceux qui utiliseraient éventuellement une licence OVH. Ce n'est pas le cas de tout le monde.
Pour le reste ne serait-il pas plus efficace qu'OVH édite lui même les modifications qu'il veut effectuer ?
Hello @CordoWEB !
Je te partage le nouveau retour que j'ai eu qui te donnera plus de visibilité 
----------
Ajout de la règle :
- 1688 : Key Management Service (TCP-In) => règle à activer si besoin (Accès au KMS Windows).
Il s'agit ici de mettre un warning, nous avons déjà plusieurs cas ou les clients bloquaient tout dont les ports KMS.
L'objectif est de mentionner qu'il faut faire attention à bien activer le port KMS lors de modifications du Firewall.
> Pour le reste ne serait-il pas plus efficace qu'OVH édite lui même les modifications qu'il veut effectuer ?
La configuration de Windows est laissée par défaut, il n'y aura aucune modification côté OVHcloud.
----------
Bonne journée à toi,
^FabL
Merci pour ce retour mais je ne vais pas modifier mon tuto car je n'ai jamais activé dans le parefeu Windows ce port 1688. Par défaut la règle existe mais n'est pas activée. Elle ne l'est que dans le cas particulier d'une activation réalisée par serveur KMS. Sur les 5 Windows que j'ai sur les serveurs OVH, aucun n'a cette règle activée et ils fonctionnent parfaitement avec un Windows activé tout naturellement (De Windows 2016 à Windows 2022).
Bref je ne vais pas écrire un truc que je ne recommande pas. La seule et unique règle qui doit prévaloir est : On ferme tout et on n'ouvre que ce qui est utile. Voilà. J'aurais testé mais si ça ne convient pas, aucun problème.
Hello @CordoWEB,
Je te remercie pour ce retour. Les différents éléments apportés par les validateurs ont pour objectif de compléter les informations. Elles se basent sur la vision qu'OVHcloud s'est fait de l'utilisation de son infrastructure et des produits ou tout simplement d'un retour d'expérience basé sur les nombreux échanges que nous avons avec nos clients.
Ce que tu donnes comme solution peut effectivement être renseigné, mais il sera aussi bon de mentionner en complément l'approche que je t'ai retourné précédemment.
Cela permet de correspondre à ta vision et à celle d'OVHcloud et ainsi proposer un guide qui parlera au plus grand nombre.
Fais moi signe dès lors que le tutoriel sera modifié. Je reste bien entendu dispo ici et en modération sur les autres catégories du forum.
^FabL
Modifications effectuées.