¿Cómo protejo Escritorio remoto en un VPS de Windows?

¿Cómo cambio la contraseña del Administrador en un VPS de Windows?

Cámbiala en tu primer inicio de sesión, porque la contraseña temporal se mostró en tu panel. Inicias sesión como Administrator por Remote Desktop en el puerto 3389; la contraseña temporal aparece en tu panel y la cambias en el primer inicio de sesión.

En la ventana de Escritorio remoto, pulsa Ctrl+Alt+Fin. Se abre la pantalla Seguridad de Windows del servidor, como Ctrl+Alt+Supr en un PC local. Selecciona Cambiar una contraseña. Desde un símbolo del sistema, sirve cualquiera de los dos comandos siguientes.

Usa una contraseña aleatoria de 16 caracteres o más, guardada en un gestor de contraseñas. La página de directivas de Microsoft fija el mínimo en 8 caracteres; un servidor expuesto a internet merece más. Nadie de nuestro equipo te pedirá nunca el número de tu cuenta ni tu contraseña de Administrador, ni por correo ni en un chat.

# Prompts twice for the new password; nothing appears on screen
net user Administrator *

# PowerShell equivalent
$Password = Read-Host -AsSecureString
Set-LocalUser -Name "Administrator" -Password $Password

¿Cómo instalo las actualizaciones de Windows en Windows Server 2022 y 2025?

Usa SConfig, la herramienta de configuración de servidor de Microsoft, que también funciona en servidores con Experiencia de escritorio. Abre PowerShell como administrador y escribe SConfig.

• Instalar ahora: opción 6 (Install updates), luego 1 para todas las actualizaciones de calidad, y después A para instalarlas todas.
• Instalar automáticamente: opción 5 (Update setting), luego A. Windows entonces busca e instala actualizaciones todos los días a las 3:00 AM hora del servidor. El valor predeterminado, D, solo las descarga.

Windows Server 2022 recibe actualizaciones de seguridad hasta el 14 de octubre de 2031, y Windows Server 2025 hasta el 14 de noviembre de 2034.

Windows Server 2012 R2 salió del soporte extendido el 10 de octubre de 2023, y sus Actualizaciones de seguridad extendidas de pago terminaron el 13 de octubre de 2026. La comprobación de Onyxpane del 30 de octubre de 2026 todavía lo encontró a la venta. El plan de 2 GB de Cloudzy y el "VPS Hosting 1" de 1Gbits solo ejecutan Windows Server 2012 o 2012 R2.

# PowerShell as administrator
SConfig
# 6 = Install updates  > 1 = all quality updates > A = install all
# 5 = Update setting   > A = automatic (checks and installs daily at 3:00 AM)

¿Cómo compruebo que la autenticación a nivel de red está activada?

La autenticación a nivel de red (NLA) hace que el usuario inicie sesión antes de que Windows cree la sesión remota. Microsoft Learn recomienda mantenerla activada en la mayoría de entornos. Los comandos siguientes muestran la configuración y la activan si es necesario.

Hay otras tres rutas que llegan a la misma configuración:

• SConfig: opción 7, E y luego 1 (clientes solo con autenticación a nivel de red).
• Propiedades del sistema: ejecuta sysdm.cpl, abre la pestaña Remoto y marca Permitir conexiones solo desde equipos que ejecuten Escritorio remoto con autenticación a nivel de red.
• Directiva de grupo: en gpedit.msc, habilita Requerir autenticación de usuario para conexiones remotas mediante autenticación a nivel de red. Se encuentra en Configuración del equipo > Plantillas administrativas > Componentes de Windows > Servicios de Escritorio remoto > Host de sesión de Escritorio remoto > Seguridad.

Si después un cliente antiguo no puede conectarse, actualiza el cliente en lugar de desactivar NLA.

# 1 = NLA required, 0 = not required
$ts = Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired

# Turn it on if the line above printed 0
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{ UserAuthenticationRequired = 1 }

¿Cómo configuro una directiva de bloqueo de cuenta que incluya al Administrador?

Establece un umbral de 10 inicios de sesión fallidos y activa Permitir el bloqueo de la cuenta de administrador. Sin esa segunda configuración, la directiva de bloqueo omite el Administrador integrado, el único nombre de cuenta que todo atacante ya conoce.

En Windows Server, la cuenta de Administrador integrada queda excluida del umbral de bloqueo de cuenta a menos que se habilite Permitir el bloqueo de la cuenta de administrador.

1. Ejecuta secpol.msc para abrir Directiva de seguridad local.
2. Ve a Configuración de seguridad > Directivas de cuenta > Directiva de bloqueo de cuenta.
3. Establece Umbral de bloqueo de cuenta en 10 intentos de inicio de sesión no válidos, el valor que sugieren las líneas base de seguridad de Windows.
4. Establece Duración del bloqueo de cuenta y Restablecer el contador de bloqueo de cuenta después de en 10 minutos. La duración debe ser al menos igual que el tiempo de restablecimiento.
5. Establece Permitir el bloqueo de la cuenta de administrador en Habilitada. En Windows Server 2022 llegó con la actualización acumulativa del 11 de octubre de 2022.

Una directiva de bloqueo tiene un coste: cualquiera que conozca el nombre de la cuenta puede bloquearla durante 10 minutos. El paso 5, la lista de permitidos del firewall, elimina ese riesgo, porque los desconocidos ya no llegan a la pantalla de inicio de sesión.

¿Cómo permito Escritorio remoto solo desde mi dirección IP?

Limita las reglas de firewall integradas de Escritorio remoto a tu propia dirección IP pública. Windows crea estas reglas cuando se activa Escritorio remoto, para TCP y para UDP. Tras el cambio, el servidor descarta los intentos de conexión de cualquier otra dirección.

Un puerto de Escritorio remoto abierto a todo internet invita a adivinar contraseñas; una lista de permitidos con tu propia IP lo detiene antes de la pantalla de inicio de sesión.

Comprueba primero tu IP pública. Mantén esta sesión abierta y prueba desde una segunda ventana de Escritorio remoto. Si tu IP doméstica cambia a menudo, permite el rango de tu proveedor en formato CIDR, como 203.0.113.0/24, o añade una segunda dirección.

Con el ratón: ejecuta wf.msc y selecciona Reglas de entrada. Abre cada regla del grupo Escritorio remoto, ve a la pestaña Ámbito y añade tu dirección en Dirección IP remota > Estas direcciones IP. Si otra regla de entrada también abre el puerto 3389, restringe o desactívala también.

Si te quedas fuera, escribe a soporte antes que nada: Una persona responde a los correos de soporte en un plazo de 12 horas, los siete días de la semana, incluida la ayuda con conexiones a Escritorio remoto, reinstalaciones y reglas del Firewall de Windows. Reiniciar, reinstalar y eliminar se solicitan desde tu panel y los lleva a cabo el equipo; una reinstalación borra el disco e incluye una nueva contraseña de Administrator.

# Replace 198.51.100.7 with your own public IPv4 address
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7

# Several addresses or a whole range also work:
# -RemoteAddress 198.51.100.7, 203.0.113.0/24

# Check the result
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

¿Debería cambiar el puerto de Escritorio remoto del 3389?

Es opcional, y no es un control de seguridad por sí solo. Un puerto nuevo oculta el servidor de los escaneos dirigidos solo al puerto 3389; un escaneo de todos los puertos lo encuentra igualmente. La lista de permitidos del paso 5 hace mucho más.

Si lo cambias de todos modos, sigue el orden de Microsoft:

1. Establece el nuevo PortNumber en HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp.
2. Añade reglas de firewall de entrada para el nuevo puerto, TCP y UDP, limitadas a tu IP.
3. Reinicia el servidor y conéctate a IP:port, por ejemplo 198.51.100.20:3390.
4. Cuando el nuevo puerto funcione, desactiva las reglas antiguas de Escritorio remoto.

Los datos de conexión de Onyxpane asumen el puerto 3389, así que anota tu nuevo puerto en un lugar seguro. Elige un puerto que ningún otro programa del servidor use.

# Microsoft Learn steps, with -RemoteAddress added and -Profile Any
# (Microsoft's example uses -Profile Public)
$portValue = 3390
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $portValue
New-NetFirewallRule -DisplayName 'RDPPORTLatest-TCP-In' -Profile Any -Direction Inbound -Action Allow -Protocol TCP -LocalPort $portValue -RemoteAddress 198.51.100.7
New-NetFirewallRule -DisplayName 'RDPPORTLatest-UDP-In' -Profile Any -Direction Inbound -Action Allow -Protocol UDP -LocalPort $portValue -RemoteAddress 198.51.100.7
Restart-Computer

# Only after you have connected on the new port:
Disable-NetFirewallRule -DisplayGroup "Remote Desktop"

¿Cómo veo los inicios de sesión fallidos de Escritorio remoto?

Windows registra cada inicio de sesión fallido en el registro de Seguridad como Event ID 4625, "An account failed to log on", cuando la auditoría de inicio de sesión está activada. El evento indica la cuenta y la dirección de red desde la que llegó el intento. Tras el paso 5, los fallos de desconocidos deberían cesar.

Este registro se escribe dentro de tu propio servidor, y tú decides si conservarlo, exportarlo o borrarlo.

# Is failure auditing on for logons?
auditpol /get /subcategory:"Logon"

# Turn it on if needed
auditpol /set /subcategory:"Logon" /failure:enable

# The 20 latest failed sign-ins
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625 } -MaxEvents 20

¿De qué se encarga Onyxpane y cuál es mi trabajo?

Onyxpane te entrega un Windows Server recién instalado, y todo lo que hay dentro es tuyo para gestionarlo.

• Red: El puerto saliente 25 (SMTP) está cerrado en todos los servidores para frenar el spam, y sigue cerrado. Los puertos 465 y 587 hacia proveedores de correo siguen abiertos. No se promete ninguna protección DDoS más allá de lo que la red del datacenter hace por defecto.
• Copias de seguridad: No se incluyen copias de seguridad automáticas: guarda tus propias copias de todo lo que importe.
• Datos: Sin registros: no guardamos registros de conexión, ni registros de tráfico, ni direcciones IP de visitantes o clientes, ni en el sitio web, ni en el panel, ni en el servidor. DMCA ignorado: no actuamos ante avisos DMCA ni otros avisos de copyright extranjeros. Respondemos solo ante la ley panameña y ante órdenes de tribunales panameños.

Según la comprobación de Onyxpane del 30 de octubre de 2026, 9 de 40 hosts Windows se entregan con Windows de prueba, de evaluación o con tu propia licencia. The Windows Server license is included in the price: no extra license fee. Todos los planes están en cuánto cuesta un RDP de Windows en Onyxpane.

Para una visión más amplia, lee ¿es seguro usar un RDP de Windows comprado. Para conectarte por primera vez, consulta ¿cómo me conecto a un RDP de Windows desde Windows. Los traders que ejecutan MetaTrader las 24 horas también deberían leer cuál es el mejor RDP de Windows o VPS para trading de forex.