RDP白名单规则为何会悄悄失效?

RDP 白名单“明明配过，后来却像没配一样”，通常不是规则凭空失效，而是访问控制链路中仍保留着更宽的通道。最常见的误判，是只检查新建的白名单规则，却忽略系统自带的远程桌面入站规则仍允许任意远程地址访问。只要宽泛允许规则仍然生效，白名单就只是额外添加了一条许可，而不是访问边界。

另一个高频原因是上下层策略不一致。云主机的安全组、网络安全组与 Windows 防火墙属于不同控制层：主机内规则收紧了，但上层仍对所有来源开放，扫描和爆破流量依然会抵达服务器；反过来，主机规则正确而上层未同步，也会造成“白名单用户突然连不上”的现象。真正有效的设计应是两层都只允许可信来源，而不是把其中一层当作唯一防线。

VPN 场景尤其容易写错白名单对象。管理员先连 VPN 再发起 RDP 时，服务器看到的通常是 VPN 分配的地址或网关侧可达地址，而不是家庭宽带的公网地址。把临时公网地址写进规则，短期测试可能成功，地址变化后便会失联；把 VPN 地址池或实际可达网段作为对象，才符合访问路径。

策略覆盖也会制造“悄悄回退”的错觉。域成员服务器上的本地安全策略和本地防火墙配置，可能在组策略刷新后被域内基线覆盖。排查时不能只看当前界面是否有规则，还要确认有效策略来源、规则作用域、远程地址过滤条件，以及是否存在同端口的宽泛允许。

最后要检查端口与网卡路径是否一致。修改 RDP 监听端口后，注册表、主机防火墙和云侧访问控制若没有同步，旧规则可能继续暴露旧端口，新规则则保护了一个并未实际监听的端口。每次变更都应保留带外管理手段，并完成双向验证：白名单内能够连接，白名单外明确被拒绝。只有这两项同时成立，白名单才算真正生效。