網路層級驗證 (Network Level Authentication, NLA) 要求用戶端在建立完整遠端桌面會話前完成身分驗證，大幅降低暴力破解、惡意程式碼利用 RDP 服務漏洞 (如 CVE-2019-0708 BlueKeep) 的風險。本文說明在 Windows Server 2008 啟用 NLA 的標準步驟與用戶端相容性說明。

啟用 NLA 步驟

1. 以具備管理權限的帳戶登入 Windows Server 2008。
2. 開啟「伺服器管理員」→ 左側「伺服器管理」→ 右側「伺服器摘要」區域點選「設定遠端桌面」。
3. 在「遠端桌面」索引標籤下，三個選項中選擇：
   「僅允許執行支援網路層級驗證之遠端桌面的電腦連線 (較安全)」 → 確定。

用戶端相容性需求

用戶端作業系統	支援 NLA	備註
Windows Vista / 7 / 8 / 10 / 11	✅ 內建支援	RDP 6.0+ 內建 CredSSP 提供者
Windows XP SP3	✅ 需安裝 KB951608 / KB952155	安裝後 RDP 客戶端升級至 6.1
Windows XP SP2 或更早	❌ 不支援	無法連線啟用 NLA 的伺服器
Mac OS X (Microsoft Remote Desktop 2/10)	✅ 支援	App Store 版本皆支援 NLA
Linux (FreeRDP, Remmina, rdesktop 1.8+)	✅ 支援	需編譯支援 CredSSP 或使用 FreeRDP

驗證 NLA 生效

1. 用戶端開啟「遠端桌面連線」(mstsc.exe) → 輸入伺服器 IP →「連線」。
2. 若 NLA 生效，將先彈出「Windows 安全性」對話框要求輸入使用者名稱/密碼 (而非進入伺服器登入畫面)。
3. 成功驗證後才建立圖形化會話，大幅縮減未驗證連線佔用的伺服器資源。

進階：透過群組原則統一強制 NLA

電腦設定 → 管理範本 → Windows 元件 → 遠端桌面服務 → 遠端桌面工作階段主機 → 安全性
→ 「要求使用者使用網路層級驗證進行遠端桌面連線」 → 已啟用

此設定會鎖定上述 GUI 選項，防止本機管理員誤關閉 NLA。

安全效益總結

• 預先驗證：未通過驗證的連線不建立完整會話，節省記憶體/CPU，緩解 DoS 攻擊。
• 憑證保護：CredSSP 協定整合 TLS + SPNEGO，保護認證過程免受中間人攻擊。
• 合規支援：滿足 PCI-DSS、HIPAA 等標準對遠端存取強式驗證的要求。

啟用 NLA 是 Windows Server 2008 遠端桌面安全性的基石設定，成本極低 (僅一個核取方塊) 卻能大幅提升防禦姿態，建議所有對外或內部管理用 RDP 服務強制開啟。