English
A plain account of Network Level Authentication, lockouts, and why an open port is not the same thing as an open office.
The port is not a welcome mat
Remote Desktop listens on TCP 3389 unless we have moved it. The internet will try that port with common passwords all day. That noise is normal. What matters is that the Administrator password is long, that there is no user named admin with a password of admin, and that failed attempts lock the account for a few minutes. If you need a connection from only the office, say so. Restricting the firewall to the office’s public IP removes almost all of that noise.
A home connection has a changing IP. Do not ask us to allow “Maria’s house” as a permanent firewall rule unless the house has a fixed address. A personal VPN into the office, or a short-lived rule while someone travels, is safer than leaving 3389 open to every address forever.
Network Level Authentication
Network Level Authentication asks for the password before it draws the desktop. Leave it on. Turning it off to “make an old client work” also turns off a useful barrier. Update the client instead. The Windows App on macOS and the current Remote Desktop client on Windows both support it.
Lockouts
Five wrong passwords from a phone that saved an old one will lock the real user. Wait out the lockout window instead of trying a sixth guess from another device. If you have locked Administrator and you have no second admin, write to info@lusona.org from the mailbox on the account. We can open the console. We will not send the password back by chat.
Português
Uma descrição simples da autenticação ao nível da rede, dos bloqueios, e de porque uma porta aberta não é o mesmo que um escritório aberto.
A porta não é um tapete de entrada
O Ambiente de Trabalho Remoto escuta na TCP 3389, salvo se a tivermos mudado. A Internet tenta essa porta com palavras-passe comuns o dia todo. Esse ruído é normal. O que importa é que a palavra-passe de Administrator seja longa, que não exista um utilizador chamado admin com a palavra-passe admin, e que tentativas falhadas bloqueiem a conta durante uns minutos. Se só precisa de ligação a partir do escritório, diga-o. Restringir a firewall ao IP público do escritório tira quase todo esse ruído.
Uma ligação de casa tem um IP que muda. Não peça uma regra permanente de firewall para “a casa da Maria” salvo se a casa tiver um endereço fixo. Uma VPN pessoal para o escritório, ou uma regra de curta duração enquanto alguém viaja, é mais segura do que deixar a 3389 aberta a todos os endereços para sempre.
Autenticação ao nível da rede
A autenticação ao nível da rede pede a palavra-passe antes de desenhar o ambiente. Deixe-a ligada. Desligá-la para “fazer um cliente antigo funcionar” também desliga uma barreira útil. Atualize o cliente. A Windows App no macOS e o cliente atual de Ambiente de Trabalho Remoto no Windows suportam-na.
Bloqueios
Cinco palavras-passe erradas a partir de um telemóvel que guardou uma antiga bloqueiam o utilizador verdadeiro. Espere o tempo de bloqueio em vez de tentar um sexto palpite noutro dispositivo. Se bloqueou o Administrator e não tem um segundo administrador, escreva para info@lusona.org a partir da caixa da conta. Podemos abrir a consola. Não devolvemos a palavra-passe por conversa.