VPS Windows: licenciamento, RDP e acesso seguro

A escolha da versão do Windows Server e da quantidade certa de memória está nas páginas de seleção. Este artigo trata de duas coisas que o plano costuma descrever em uma linha ou nem menciona: com base em quê o provedor fornece o Windows e como garantir que só você consiga entrar. Confira as duas antes de pagar: regularizar a licença de um servidor ou reconstruí-lo depois de uma invasão custa mais do que escolher o plano certo desde o início.

Como os provedores licenciam o Windows Server

O provedor não compra uma cópia em caixa do Windows para cada cliente. Os provedores usam o programa SPLA da Microsoft (Services Provider License Agreement): as licenças são alugadas e pagas à Microsoft todo mês conforme o uso real. É por isso que o Windows aparece como um adicional mensal no plano e some quando você apaga o servidor.

No SPLA, o Windows Server é licenciado por núcleo. No licenciamento por máquina virtual, o provedor paga tantas licenças de núcleo quantos forem os núcleos virtuais da VM, mas nunca menos de oito por VM. Assim, o adicional do Windows em um plano pequeno de 1–2 vCPU é quase igual ao de um plano de 8 vCPU e, como fração do preço do servidor, parece alto. Em planos baratos, o Windows às vezes custa mais que o próprio servidor.

O que conferir na descrição do plano:

• se está dito explicitamente que a licença está incluída no preço ou é adicionada como opção, e não apenas «imagem do Windows» ou «instalação do Windows»;
• qual edição: Standard ou Datacenter. Para uma única VPS isso normalmente não faz diferença para você; o que importa é haver licença;
• quanto o Windows custa na renovação e quando você adiciona núcleos.

Se o plano fornece só uma imagem do sistema sem licença, o Windows vai rodar sem ativação, com avisos e restrições, e a regularidade desse uso fica por sua conta.

Dá para usar sua própria licença

Tecnicamente sim: em KVM você pode iniciar sua própria imagem ISO. Juridicamente, depende do tipo de licença.

• Chaves de varejo e OEM vendidas em lojas online não dão o direito de rodar o Windows Server em hardware compartilhado de um provedor. Uma licença OEM também fica vinculada a um servidor físico específico.
• Licenças por volume com Software Assurance ou licenças por assinatura podem, desde outubro de 2022, ser levadas para provedores terceiros, inclusive em hardware compartilhado (o Flexible Virtualization Benefit). A exceção são as maiores nuvens públicas da lista da Microsoft, que têm regras próprias.

Se a empresa não tem Software Assurance ativo, um plano com a licença do provedor é mais simples e mais seguro. A licença própria faz sentido quando já está paga em um contrato por volume.

O Windows 10 e 11 para desktop são um caso à parte. Eles não fazem parte do SPLA, e os termos da licença não preveem aluguel em hardware compartilhado. Os detalhes estão nas páginas VPS com Windows 10 e VPS com Windows 11.

Quantas pessoas podem se conectar via RDP

Sem licenças adicionais, o Windows Server aceita duas conexões RDP simultâneas, destinadas à administração. Se funcionários trabalham no servidor, como contabilidade, gerentes ou operadores, você precisa da função Remote Desktop Session Host e de uma licença para cada usuário.

No SPLA, a licença por usuário se chama RDS SAL e é contada por mês: se o usuário recebeu acesso por um único dia do mês, o mês inteiro é cobrado. Pergunte ao provedor se ele vende essas licenças e a que preço; para uma equipe pequena isso pode dobrar o orçamento do servidor. Como dimensionar memória e núcleos por usuário está descrito na página Servidor RDP.

Por que o RDP é o mais atacado

A porta 3389 é escaneada o tempo todo: um servidor Windows novo com RDP aberto começa a receber tentativas de login poucos minutos depois de ganhar um IP. Há duas ameaças principais.

• Adivinhação de senhas. Bots testam nomes de usuário comuns, antes de tudo Administrator, e senhas de bases vazadas. Essa é a causa mais frequente de invasões.
• Vulnerabilidades no próprio serviço RDP. Um exemplo é o BlueKeep (CVE-2019-0708), de 2019: uma falha em versões antigas do Windows permitia executar código sem senha. A correção saiu em atualizações, e nenhum sistema sem ela deveria estar na internet.

A proteção é montada em camadas: primeiro limite quem consegue alcançar o RDP, depois dificulte o login e, por fim, feche as vulnerabilidades com atualizações.

Camada 1: rede

• Lista de IPs permitidos. Libere a porta RDP no Firewall do Windows apenas para os seus endereços. Se o provedor oferece um filtro de rede no painel, repita a regra lá para que o tráfego indesejado nem chegue ao servidor.
• Rede privada corporativa. Se os endereços dos funcionários mudam, conecte-os ao servidor pelo gateway VPN da empresa e deixe o RDP escutando só na rede interna. Como montar esse esquema está explicado em Rede corporativa em uma VPS.
• Remote Desktop Gateway (RD Gateway). Ele transporta o RDP dentro de HTTPS pela porta 443, verifica os usuários com políticas de acesso e permite adicionar um segundo fator. Útil quando há muitos usuários e você prefere não instalar clientes VPN para eles.

Tirar o RDP da porta 3389 reduz o ruído nos logs, mas não protege: os scanners encontram o RDP em portas não padrão também.

Camada 2: login

• Network Level Authentication (NLA). O usuário informa as credenciais antes de o servidor abrir uma sessão completa. Isso economiza recursos durante ataques de força bruta e bloqueia algumas vulnerabilidades que são acionadas antes do login. Deve ficar sempre ativado.
• Política de bloqueio. Em sistemas instalados com as atualizações de outubro de 2022 ou mais recentes, vale por padrão um bloqueio de 10 minutos após 10 tentativas falhas, inclusive para o administrador interno. Imagens mais antigas podem não ter isso; confira na Política de Segurança Local.
• Contas separadas. Cada funcionário recebe sua própria conta sem direitos de administrador. Renomeie ou desative o Administrator interno e troque a senha enviada pelo provedor no primeiro login.
• Segundo fator. Para servidores com acesso a dinheiro e dados pessoais, adicione autenticação em dois fatores via RD Gateway ou uma solução de terceiros para o login do Windows.

Camada 3: atualizações e recuperação

Correções para RDP, SMB e o kernel do Windows saem todo mês, na segunda terça-feira. Ative a instalação automática com reinicialização em uma janela noturna e acompanhe as datas de suporte da versão: o Windows Server 2016 recebe correções até 12 de janeiro de 2027, o 2019 até 9 de janeiro de 2029, o 2022 até 14 de outubro de 2031 e o 2025 até 14 de novembro de 2034. Um servidor com versão sem suporte continua vulnerável, por mais bem protegido que esteja o login.

Mantenha um backup dos dados fora do servidor e um snapshot do sistema limpo depois da configuração. Se o log de segurança mostrar um login bem-sucedido de um endereço desconhecido, é mais seguro reinstalar a partir de um template e restaurar os dados do que procurar o que o invasor alterou. As particularidades de cada versão estão nas páginas Windows Server 2022 e Windows Server 2025.

Checklist: a primeira hora em uma VPS Windows

• A descrição do plano menciona uma licença do Windows Server, e o preço de renovação é conhecido.
• Se há mais de dois usuários, as RDS SAL do provedor estão resolvidas.
• A senha do provedor foi trocada, e o Administrator interno foi renomeado ou desativado.
• O NLA está ativado, e a política de bloqueio de conta está em vigor.
• O RDP está aberto só para os seus IPs, pela rede privada da empresa ou pelo RD Gateway.
• As atualizações automáticas estão ativadas, e a versão do Windows ainda tem suporte.
• Há um backup dos dados fora do servidor e um snapshot feito depois da configuração.

Planos com a licença já incluída estão reunidos em VPS com Windows e VPS Windows barata. Os critérios gerais de escolha de servidor estão em Como escolher uma VPS.