Để kết nối VPS Windows bằng RDP, bạn chỉ cần ba thứ: địa chỉ IP của máy chủ, thông tin đăng nhập và một ứng dụng Remote Desktop. Phần này mất khoảng hai phút. Phần cần cẩn thận hơn đến ngay sau đó: một máy chủ Windows mở RDP cho toàn bộ Internet sẽ sớm bị bot dò mật khẩu tự động, nên bài này hướng dẫn luôn những thiết lập giúp kết nối an toàn khi dùng lâu dài.
Chuẩn bị trước khi kết nối
Máy chủ Windows trên Cloudj đăng nhập bằng mật khẩu, không dùng SSH key. Sau khi triển khai, mở trang máy chủ trong console Cloudj. Tại đây có địa chỉ IPv4 công khai và mật khẩu được tạo sẵn. Tên đăng nhập trên máy chủ Windows thường là Administrator; hãy dùng đúng tên hiển thị cùng thông tin đăng nhập.
Hãy chờ vài phút sau khi tạo máy chủ rồi mới kết nối lần đầu. Windows còn đang hoàn tất cài đặt ở lần khởi động đầu tiên, nên kết nối quá sớm có thể báo lỗi dù không có gì sai.
Remote Desktop mặc định lắng nghe ở cổng TCP 3389. Nếu bạn đang dùng mạng công ty hoặc trường học chặn kết nối ra các cổng lạ, hãy thử từ mạng khác trước, ví dụ mạng 4G trên điện thoại.
Kết nối VPS Windows bằng RDP từ từng hệ điều hành
Windows
Windows có sẵn ứng dụng Remote Desktop Connection.
- Nhấn
Win+R, gõmstscrồi Enter. - Nhập IP máy chủ vào ô Computer và bấm Connect.
- Khi được hỏi thông tin đăng nhập, chọn More choices, rồi Use a different account, nhập
Administratorvà mật khẩu lấy từ trang máy chủ. - Chấp nhận cảnh báo chứng chỉ ở lần đầu. Máy chủ dùng chứng chỉ tự ký, điều này là bình thường.
Bạn cũng có thể mở trực tiếp từ terminal, thêm cổng nếu sau này bạn đổi cổng:
mstsc /v:203.0.113.10
mstsc /v:203.0.113.10:33899Trong Show Options, thẻ Local Resources cho phép chia sẻ clipboard và ổ đĩa trên máy bạn, đây là cách dễ nhất để chép file lên máy chủ.
macOS
Cài Windows App (tên cũ là Microsoft Remote Desktop) từ Mac App Store. Bấm dấu cộng, chọn Add PC, nhập địa chỉ IP, rồi thêm tài khoản với Administrator và mật khẩu. Nhấp đúp vào PC để kết nối.
Linux
Remmina là ứng dụng đồ hoạ phổ biến nhất và hỗ trợ RDP sẵn:
sudo apt install -y remminaTạo kết nối mới, chọn giao thức RDP, nhập IP, tên đăng nhập và mật khẩu. Nếu thích dòng lệnh, FreeRDP là lựa chọn tốt. Trên các bản phân phối có FreeRDP 3, client X11 có tên xfreerdp3:
sudo apt install -y freerdp3-x11
xfreerdp3 /v:203.0.113.10 /u:Administrator /dynamic-resolutionAndroid và iPhone
Cài Windows App từ Google Play hoặc App Store, thêm PC với IP và thông tin đăng nhập, rồi kết nối. Điện thoại đủ dùng để khởi động lại một chương trình bị treo; còn làm việc thật thì nên dùng máy tính.
Đổi mật khẩu ngay lần đầu
Mật khẩu được tạo sẵn đủ mạnh, nhưng nó đã từng hiện trên trình duyệt. Hãy đổi ngay ở lần đăng nhập đầu: nhấn Ctrl+Alt+End trong phiên làm việc và chọn Change a password, hoặc mở Command Prompt với quyền quản trị rồi chạy:
net user Administrator *Lưu mật khẩu mới vào trình quản lý mật khẩu. Nếu muốn giữ mật khẩu gốc, ít nhất hãy coi tài khoản console (nơi xem được mật khẩu) là thông tin nhạy cảm và bảo vệ nó bằng một mật khẩu mạnh riêng.
Kiểm tra NLA đã bật chưa
Network Level Authentication (NLA) buộc client xác thực xong rồi máy chủ mới mở một phiên Windows đầy đủ. Điều này giảm tải do bot gây ra và chặn một số kiểu tấn công cũ. Kiểm tra trong cửa sổ PowerShell chạy với quyền quản trị; kết quả 1 nghĩa là NLA đang bật:
(Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequiredNếu kết quả là 0, hãy bật lên:
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1Tất cả ứng dụng kể trên đều hỗ trợ NLA, nên không có lý do gì để tắt nó.
Giới hạn ai được truy cập RDP
Bước hiệu quả nhất là chỉ chấp nhận RDP từ những địa chỉ bạn tin cậy. Nếu văn phòng có IP tĩnh, hãy giới hạn các rule firewall có sẵn về IP đó. Giữ nguyên phiên đang mở trong lúc làm, và thử một kết nối mới trước khi đăng xuất:
Set-NetFirewallRule -Name RemoteDesktop-UserMode-In-TCP,RemoteDesktop-UserMode-In-UDP -RemoteAddress 203.0.113.50Nhiều gói Internet gia đình ở Việt Nam dùng IP động, đổi sau mỗi lần khởi động lại modem. Khi đó có hai cách thực tế: kết nối qua một VPN server trước (xem bài cài WireGuard trên VPS), hoặc giữ một danh sách IP nhỏ và cập nhật khi cần.
Đổi cổng RDP
Chuyển RDP khỏi cổng 3389 không ngăn được kẻ tấn công có chủ đích, nhưng giảm đáng kể lượng dò quét tự động trong log. Thêm rule firewall trước, đổi cổng sau, rồi khởi động lại dịch vụ:
New-NetFirewallRule -DisplayName 'RDP 33899' -Direction Inbound -Protocol TCP -LocalPort 33899 -Action Allow
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 33899
Restart-Service -Name TermService -ForcePhiên làm việc sẽ ngắt khi dịch vụ khởi động lại. Kết nối lại bằng 203.0.113.10:33899. Khi đã vào được, tắt các rule cũ bằng Disable-NetFirewallRule -Name RemoteDesktop-UserMode-In-TCP,RemoteDesktop-UserMode-In-UDP. Nếu bạn cũng giới hạn theo IP, thêm -RemoteAddress vào rule mới.
Theo dõi các lần đăng nhập thất bại
Đăng nhập thất bại được ghi với event ID 4625. Lệnh sau hiện các lần gần nhất, kèm địa chỉ nguồn:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20Nếu số dòng tăng đều đặn, RDP của bạn đang mở quá rộng. Checklist bảo mật VPS mới hướng dẫn thêm về cập nhật và các bước cơ bản khác.
Khi không kết nối được
| Thông báo hoặc hiện tượng | Nguyên nhân thường gặp | Cách xử lý |
|---|---|---|
| Không kết nối được tới máy chủ | Cổng bị đóng, sai cổng, hoặc máy chủ còn đang khởi động | Test-NetConnection 203.0.113.10 -Port 3389 trên Windows, nc -vz 203.0.113.10 3389 trên macOS hoặc Linux |
| Thông tin đăng nhập không đúng | Sai định dạng tên đăng nhập hoặc dùng mật khẩu cũ | Dùng .\Administrator và mật khẩu hiện tại |
| Kết nối được rồi ngắt ngay | Thay đổi firewall hoặc cổng mới làm một nửa | Kiểm tra rule và PortNumber có khớp nhau |
| Phiên làm việc chậm, giật | Máy chủ ở xa hoặc thiết lập hình ảnh nặng | Giảm độ sâu màu và tắt hình nền trong tuỳ chọn client |
Nếu kết nối từ đâu cũng chậm, có thể máy chủ đơn giản là ở quá xa bạn. Hướng dẫn chọn vị trí VPS và bài chọn vị trí VPS theo độ trễ giúp bạn chọn thành phố gần hơn. Với người dùng ở Việt Nam, các vị trí châu Á thường là điểm khởi đầu hợp lý; xem thêm bài về VPS Windows tại Singapore và VPS Windows tại Anh.
Câu hỏi thường gặp
Tìm mật khẩu Windows ở đâu?
Trên trang máy chủ trong console Cloudj, cạnh địa chỉ IP. Nếu bạn đổi mật khẩu bên trong Windows, console không thể biết mật khẩu mới, nên hãy lưu nó trong trình quản lý mật khẩu.
VPS Windows có dùng SSH key được không?
Máy chủ Windows trên Cloudj đăng nhập bằng mật khẩu. Nếu cần, bạn có thể cài tính năng OpenSSH Server bên trong Windows để truy cập thêm qua SSH.
Dùng Windows có tốn thêm phí không?
Máy chủ Windows có phí bản quyền hằng tháng, và console hiển thị khoản này trước khi bạn triển khai. Giá trực tiếp có trên trang bảng giá.
Có thực sự cần Windows không?
Chỉ khi phần mềm của bạn yêu cầu. Nhiều ứng dụng máy chủ chạy tốt trên Linux; bài so sánh VPS Linux và Windows giúp bạn quyết định.
Bắt đầu kết nối
Tạo máy chủ Windows trong console Cloudj, kiểm tra danh sách hệ điều hành ở vị trí bạn chọn, và kết nối bằng ứng dụng phù hợp với thiết bị. Dành thêm năm phút để bật NLA và giới hạn IP, máy chủ đã sẵn sàng cho công việc hằng ngày.