Все товары 
Windows VPS: лицензия, RDP и безопасность входа
Сервер с Windows дороже Linux не только из-за памяти: в цену входит лицензия, и от того, как она оформлена, зависит, законно ли вы работаете и сколько человек может подключиться. А открытый RDP — самая частая причина взлома таких серверов. Разбираем обе темы.
Выбор версии Windows Server и нужной памяти разобран на страницах подборок. Здесь — две вещи, которые в карточке тарифа обычно описаны одной строкой или не описаны вовсе: на каком основании хостер даёт вам Windows и как сделать так, чтобы на сервер заходили только вы. Обе темы стоит проверить до оплаты: переоформить лицензию и восстанавливать сервер после взлома дороже, чем выбрать правильный тариф сразу.
Как хостер лицензирует Windows Server
Хостер не покупает коробочную Windows для каждого клиента. Провайдеры работают по программе Microsoft SPLA (Services Provider License Agreement): лицензии берутся в аренду и оплачиваются Microsoft ежемесячно по фактическому использованию. Отсюда помесячная доплата за Windows в тарифе и то, что она исчезает, когда вы удаляете сервер.
Windows Server в SPLA лицензируется по ядрам. Если лицензия считается на виртуальную машину, хостер оплачивает столько лицензий, сколько у неё виртуальных ядер, но не меньше восьми на машину. Поэтому доплата за Windows на маленьком тарифе с 1–2 vCPU почти не отличается от доплаты на тарифе с 8 vCPU и в процентах к цене сервера выглядит большой. На дешёвых тарифах Windows иногда стоит дороже самого сервера.
Что проверить в описании тарифа:
- прямо написано, что лицензия включена в цену или добавляется опцией, — а не только «образ Windows» или «установка Windows»;
- какая редакция: Standard или Datacenter. Для одного VPS разницы для вас обычно нет, важно, чтобы лицензия была;
- сколько стоит Windows при продлении и при увеличении числа ядер.
Если в тарифе есть только образ системы без лицензии, Windows будет работать без активации, с напоминаниями и ограничениями, а законность такого использования ложится на вас.
Можно ли поставить свою лицензию
Технически — да, на KVM можно загрузить свой ISO-образ. Юридически всё зависит от типа лицензии.
- Розничные и OEM-ключи, которые продаются в интернет-магазинах, не дают права запускать Windows Server на общем оборудовании хостера. OEM-лицензия к тому же привязана к конкретному физическому серверу.
- Корпоративные лицензии с Software Assurance или по подписке с октября 2022 года можно переносить к сторонним провайдерам, в том числе на общее оборудование (Flexible Virtualization Benefit). Исключение — крупнейшие публичные облака из списка Microsoft, для них действуют отдельные правила.
Если у компании нет действующего Software Assurance, проще и надёжнее взять тариф с лицензией хостера. Своя лицензия имеет смысл, когда она уже оплачена в рамках корпоративного соглашения.
Отдельный случай — десктопные Windows 10 и 11. В SPLA они не входят, и условия их лицензии не рассчитаны на аренду на общем оборудовании. Подробности — на страницах VPS с Windows 10 и VPS с Windows 11.
Сколько человек может подключиться по RDP
Без дополнительных лицензий Windows Server принимает два одновременных подключения по RDP — они предназначены для администрирования. Если с сервером работают сотрудники — бухгалтерия, менеджеры, операторы, — нужна роль узла сеансов удалённых рабочих столов (RD Session Host) и лицензии на каждого пользователя.
| Сценарий | Что нужно | Кто оплачивает |
|---|---|---|
| 1–2 администратора | Ничего сверх лицензии Windows Server | Входит в тариф |
| Сотрудники работают на сервере | Роль RD Session Host и лицензия на каждого пользователя | У хостера — RDS SAL помесячно за пользователя |
| Своя инфраструктура лицензий | Сервер лицензирования RDS и права на использование у провайдера | Компания, по условиям своего соглашения |
В SPLA лицензия на пользователя называется RDS SAL и считается помесячно: если пользователю дали доступ хотя бы на один день месяца, за него платят весь месяц. Спросите хостера, продаёт ли он такие лицензии и сколько они стоят, — это может удвоить бюджет сервера для небольшой команды. Как считать память и ядра на пользователей, описано на странице RDP-сервер.
Почему RDP атакуют чаще всего
Порт 3389 сканируют постоянно: новый Windows-сервер с открытым RDP начинает получать попытки входа в первые минуты после выдачи IP. Основных угроз две.
- Подбор пароля. Боты перебирают распространённые логины, прежде всего Administrator, и пароли из утёкших баз. Это самая частая причина взломов.
- Уязвимости в самой службе RDP. Пример — BlueKeep (CVE-2019-0708) в 2019 году: уязвимость в старых версиях Windows позволяла выполнить код без пароля. Исправление вышло в обновлениях, и систем без них в интернете быть не должно.
Защита строится слоями: сначала ограничить, кто вообще может достучаться до RDP, затем усложнить вход, затем закрывать уязвимости обновлениями.
Слой 1: сеть
- Белый список IP. Разрешите порт RDP в брандмауэре Windows только для своих адресов. Если у хостера есть сетевой фильтр в панели, продублируйте правило там: тогда лишний трафик не дойдёт до сервера вообще.
- Корпоративная частная сеть. Если у сотрудников меняются адреса, подключайте их к серверу через VPN-шлюз компании, а RDP слушайте только во внутренней сети. Как построить такую схему, описано в статье Корпоративная сеть на VPS.
- Шлюз удалённых рабочих столов (RD Gateway). Пропускает RDP внутри HTTPS через порт 443, проверяет пользователя по политикам доступа и позволяет подключить второй фактор. Удобен, когда пользователей много и VPN ставить им не хочется.
Смена порта 3389 на другой уменьшает шум в журналах, но не защищает: сканеры находят RDP и на нестандартных портах.
Слой 2: вход
- Проверка подлинности на уровне сети (NLA). Пользователь вводит учётные данные до того, как сервер откроет полноценный сеанс. Это экономит ресурсы при переборе и закрывает часть уязвимостей, которые срабатывают до входа. Должна быть включена всегда.
- Политика блокировки. В системах, установленных с обновлениями от октября 2022 года и новее, по умолчанию действует блокировка на 10 минут после 10 неудачных попыток, в том числе для встроенного администратора. В старых образах её может не быть — проверьте в «Локальной политике безопасности».
- Отдельные учётные записи. У каждого сотрудника своя учётная запись без прав администратора. Встроенного Administrator переименуйте или отключите, пароль, присланный хостером, смените в первый же вход.
- Второй фактор. Для серверов с доступом к деньгам и персональным данным добавьте двухфакторную проверку — через RD Gateway или стороннее решение для входа в Windows.
Слой 3: обновления и восстановление
Исправления для RDP, SMB и ядра Windows выходят каждый месяц во второй вторник. Включите автоматическую установку с перезагрузкой в ночное окно и следите за сроками поддержки версии: Windows Server 2016 получает исправления до 12 января 2027 года, 2019 — до 9 января 2029 года, 2022 — до 14 октября 2031 года, 2025 — до 14 ноября 2034 года. Сервер на версии без поддержки остаётся уязвимым, как бы хорошо ни был закрыт вход.
Держите резервную копию данных вне сервера и снапшот чистой системы после настройки. Если в журнале безопасности появился успешный вход с незнакомого адреса, надёжнее переустановить систему из шаблона и восстановить данные, чем искать, что успел изменить злоумышленник. Особенности версий — на страницах Windows Server 2022 и Windows Server 2025.
Чек-лист: первый час на Windows VPS
- В описании тарифа указана лицензия Windows Server, известна цена продления.
- Если пользователей больше двух — решён вопрос с RDS SAL у хостера.
- Пароль от хостера заменён, встроенный Administrator переименован или отключён.
- NLA включена, политика блокировки учётных записей действует.
- RDP открыт только для своих IP, через частную сеть компании или RD Gateway.
- Автоматические обновления включены, версия Windows на поддержке.
- Есть резервная копия данных вне сервера и снапшот после настройки.
Тарифы с уже включённой лицензией собраны в подборках VPS с Windows и дешёвые VPS с Windows. Общие параметры выбора сервера — в статье Как выбрать VPS.