Windows Server 2003 記錄遠端桌面登入 IP 批次檔實作

Windows Server 2003 終端機服務預設日誌僅記錄電腦名稱，不記錄用戶端 IP。透過批次檔搭配 netstat 捕捉 3389 埠連線，可在用戶登入時自動記錄遠端 IP、時間與連線狀態，強化稽核追蹤能力。

實作步驟

1. 建立批次檔
   新建文字檔 → 另存為 login.bat（或 .cmd）
   提示：資料夾選項 → 檢視 → 取消勾選「隱藏已知檔案類型的副檔名」以確認副檔名

2. 編輯批次檔內容
   右鍵 login.bat → 「編輯」 → 貼上以下程式碼：

@echo off
date /t >> D:\temp\login.log
time /t >> D:\temp\login.log
echo  協定  本地IP位址  遠端IP位址  連線狀態 >> D:\temp\login.log
netstat -an -p tcp | find ":3389" >> D:\temp\login.log
start explorer
echo ________________________________________________ >> D:\temp\login.log

關鍵參數說明：

• find ":3389"：篩選遠端桌面預設埠（若已修改埠號請同步調整）
• D:\temp\login.log：日誌儲存路徑，請確保資料夾存在且具寫入權限
• start explorer：確保使用者登入後正常載入桌面

3. 部署批次檔
   將 login.bat 複製至固定路徑（如 D:\temp\）

4. 設定終端機服務登入執行
   「開始」→「程式集」→「系統管理工具」→「終端機服務設定」→「連線」
   右鍵 RDP-Tcp → 「內容」→「環境」頁籤
   勾選 「使用者登入時啟動下列程式」
   程式路徑：D:\temp\login.bat
   啟動位置：D:\temp
   確定 → 重新開機生效

驗證與維護

• 重新遠端登入後，檢視 D:\temp\login.log 確認格式正確
• 日誌範例：

  三 02/07/2017
  14:30:05.12
    協定  本地IP位址  遠端IP位址  連線狀態
  TCP    192.168.1.100:3389  203.45.67.89:54321  ESTABLISHED
  ________________________________________________
  

• 建議設定排程工作定期備份/清理日誌，避免磁碟塞滿
• 若伺服器有多張網卡，netstat 會列出所有介面的 3389 連線

進階擴充

• 加入 whoami 記錄登入帳號
• 改用 PowerShell 解析 netstat 輸出為結構化 CSV
• 整合至 SIEM/日誌收集系統

注意： Windows Server 2003 已停止主流支援，建議規劃遷移至支援中版本。此法亦適用於 Windows XP/Server 2003 同代系統。