要求客户端在连接到服务器之前登录 VPN 。仅将 RDP 端口公开给通过 VPN 连接的主机。

这不仅可以保护您免受 CVE-2018-0886 的侵害，还可以保护您免受其他 RDP 漏洞的侵害，例如 CVE-2019-0708 (BlueKeep) 以及如果没有恶意行为者能够进入 VPN的未来将继续出现的漏洞.

请注意，这是一个很大的如果。即使是最受信任的用户可能会从中受到威胁的计算机，您也应该真正需要 VPN并修补漏洞。但是缺少后者，至少您应该实现前者。

证书不会拯救你。我知道的唯一缓解措施是补丁。

请允许我引用发现此 CVE 的人的话： https ://blog.preempt.com/how-we-exploited-the-authentication-in-ms-rdp

由于 RDP 的实施方式，利用 NTLM 中继漏洞是可能的。我们来看看过程：

1. 能力协商（通常选择CredSSP）
2. 建立 TLS
3. 网络层身份验证 (NLA) 使用 CredSSP 执行
4. 客户端验证证书，如果需要显示警告

凭据在上面列出的第 3 步中发送，证书在第 4 步中进行验证。哎呀。这意味着基于证书的强制执行为时已晚——当您意识到证书错误时，您已经发送了凭据。

不确定证书重新提示发生了什么。