把远程桌面（3389）直接映射到公网，是最常见的做法，也是最容易被爆破的。我们扫描过一些客户的外网 IP，3389 开放的一个月能有上万次暴力破解尝试。
1. 改端口 + 强密码 + 限制 IP —— 最基础，能挡掉大部分扫描
2. VPN —— 先连 VPN 再访问内网，比裸映射安全得多
3. 零信任网关 —— 每次访问都验证身份和设备，适合有预算的企业
4. 云桌面 —— 不暴露内网，数据也不落地
· 开双因素认证
· 记录登录日志，异常 IP 告警
· 离职员工当天停用账号
远程访问方便和安全是矛盾的，但对中小企业来说，「VPN + 强密码 + 限制来源 IP」已经能挡掉 99% 的攻击。
