RustDesk安全加固设置指南：自建服务端必做的防护清单

为什么自建了还要加固

RustDesk端到端加密的底子很好，但“加密”只解决窃听问题。自建服务端一旦暴露在公网上，就要面对端口扫描、暴力尝试、漏洞利用这些互联网常规攻击面。安全加固的目标不是让服务“能用”，而是让未授权者找不到、进不来、做了事留得下痕迹。

以下清单按优先级排列，建议逐项对照执行。

第一优先：密钥与服务端防护

1. 固定并保管好Key

自建hbbs/hbbr时会生成一对密钥，公钥（Key）写进客户端配置。务必做到：

1. 不要使用无Key的裸部署——任何拿到地址的客户端都能尝试注册
2. 私钥（id_ed25519 文件）只存在服务端，不外传、不进Git仓库
3. 更换Key = 所有客户端需要重新配置，因此首次部署时就确定好Key管理方案

2. 修改默认端口（可选但推荐）

RustDesk默认端口21114-21119是扫描器重点关照对象。改为高位非标端口虽属“安全而非 obscurity”，但能过滤掉绝大多数无脑扫描。注意客户端要同步改端口配置。

3. 防火墙最小开放

只开放实际用到的端口，并尽量限制来源：

# 仅允许公司VPN出口IP访问（示例）
ufw allow from 203.0.113.0/24 to any port 21115:21119 proto tcp
ufw allow from 203.0.113.0/24 to any port 21116 proto udp

如果所有使用场景都在VPN内，干脆不把RustDesk端口暴露到公网，这是最高等级的防护。

第二优先：客户端侧策略

4. 强制连接确认

被控端设置中开启“每次连接需用户确认”（除了确实需要无人值守的机器）。这样即使设备ID和密码意外泄露，身边有人在场时攻击也无法静默完成。

5. 密码策略收紧

6. 白名单模式

被控端开启IP白名单，只允许公司网络或VPN出口IP发起连接。RustDesk客户端支持配置“允许的IP”列表，配合服务端防火墙形成双层过滤。

7. 权限最小化

不需要的功能就关掉：无人值守场景下可关闭“剪贴板同步”“文件传输”中用不到的项；纯监控需求只需开放屏幕查看，禁掉键鼠控制。权限越少，攻击者拿到会话后能做的事越少。

第三优先：网络层加固

8. 把服务端藏进内网+跳板

进阶方案是不让RustDesk服务端直接暴露公网：

1. 服务端部署在内网
2. 通过WireGuard或公司VPN访问
3. 远程办公场景先连VPN，再用RustDesk

代价是使用多一步，换来的是公网扫描器完全看不到服务。

9. 系统层面同步加固

服务端宿主机本身也要达标：

• 系统与Docker镜像保持更新
• SSH改用密钥登录、禁用root密码
• 服务器上不跑无关服务，减少横向风险

第四优先：审计与响应

10. 定期看日志

hbbs的日志记录了连接与注册行为。建议每周扫一遍：

1. 异常注册：短时间内大量新客户端注册，可能被人摸到地址后批量接入
2. 异常时段连接：非工作时间的连接逐一确认是否为授权行为
3. 失败尝试：针对同一客户端ID的反复失败，说明有人在试密码

11. 准备好应急动作

• 怀疑Key泄露：服务端删除密钥重启生成新Key，通知所有用户更新客户端配置
• 怀疑某账号失陷：立即在服务端禁用该用户，修改其被控端密码
• 服务被扫描干扰：防火墙临时封禁来源IP段

一张加固自查表

总结

RustDesk安全加固的思路与所有远程服务一致：缩小暴露面（防火墙/白名单/VPN）、抬高准入门槛（Key/强密码/连接确认）、保留追溯能力（日志/预案）。前十项清单做完，你的自建RustDesk已经比大多数随手部署的远程服务安全得多。安全不是一次性的动作——把第9、10项变成每周例行动作，防线才能持续有效。