RDP-FIDO-GATE 抗钓鱼的 Windows 远程桌面多因素认证（MFA）

零信任 RDP，由硬件密钥把关。

一款轻量级网关，在 Windows 远程桌面前置硬件 FIDO2 双因素认证。用户在会话开启前轻触安全密钥——不再有可被窃取的密码。

1.25 新功能客户端主密码：启动时要求输入，并加密会话和 SSH 控制台中保存的密码；也可以用 FIDO2 密钥保护启动。“设置”→“启动保护”。进一步了解 SSH 控制台 → · Linux 软件包 → · 新功能 →

Android · 预测试版 Android 应用：同一把密钥、同一个网关——在手机上使用 FIDO Stream 和 RDP。上架 Google Play 之前开放预测试：欢迎所有人参与。下载 APK → · 关于 Android 客户端 →

购买 Pro — $49 下载安装程序——主机端或客户端云端演示

云服务价格单独确定，取决于与其他系统的集成、按组织结构划分的机器权限、文件交换、连接统计、仪表板等多种因素。了解更多 →

直接链接：下载客户端 · 下载网关（主机端）

从设计之初即安全

三重保障，让被盗密码变得毫无价值。

从设计上就是多因素

只有在触摸 FIDO2 / WebAuthn 密钥之后（还可要求密钥的 PIN 或指纹），或者在为无密钥团队配置的网关上输入身份验证器应用中的一次性验证码之后，RDP 端口才会打开；随后 Windows 仍会要求输入自己的密码。被盗或被钓鱼获取的密码单独毫无用处。

由 Windows 本身强制执行

该网关完全构建在 Windows 原生安全机制之上——用 Windows Firewall 开启和关闭端口，用 Windows WebAuthn API 校验密钥，用 DPAPI 加密存储的机密。除操作系统之外，无需信任任何其他组件。

默认拒绝，限时访问

RDP 3389 端口始终被防火墙阻止，对互联网不可见。只有当已注册的密钥证明持有后，网关才会为单个 IP 打开一个约 90 秒的狭窄缺口——随后重新封锁该端口，并每 30 秒重新确认封锁。

工作原理

一次密钥轻触，为单个 IP 打开约 90 秒的防火墙缺口——随后端口再次关闭。

FIDO Stream——当延迟至关重要时

与 RDP 并列的第二种连接模式：桌面通过 UDP 以硬件编码串流——适合游戏、CAD 和视频。同一次密钥轻触即可开启；其他场景仍由 mstsc 负责。

UDP 与前向纠错

视频以受 Reed–Solomon FEC 保护的切片离开主机。丢失的数据包在到达端直接重建，而不是等一个往返之后再重传，因此存在丢包的 Wi-Fi 链路不会变成卡顿。在局域网中，从点击到成像的延迟为 25–45 ms。

硬件编码与解码

NVIDIA NVENC 直接通过驱动 API 调用，或借助 Media Foundation 使用任何厂商的硬件编码器（Quick Sync、AMF），并以 Microsoft 的软件 H.264 作为后备。查看器在 GPU 上解码——NVIDIA 上用 NVDEC，Intel 和 AMD 上用 DXVA——支持 H.264 或 HEVC。

为游戏而生

键盘和鼠标以扫描码形式经可靠通道传输，因此 WASD 在任何键盘布局下都能正常工作。鼠标捕获（Ctrl+Alt+Home）为射击游戏发送相对位移；Ctrl+Alt+Enter 切换全屏。音频双向传输，包括您的麦克风。

一个平衡滑块

从“链路较差”——更低分辨率、HEVC、更多 FEC——到“电脑较弱”——仅硬件、最快预设、原生分辨率。自动模式会把平衡点移向当前的瓶颈所在。

同一把密钥，同一道网关

只有在 FIDO2 密钥确认之后才会签发串流票据；会话密钥由绑定该票据的 ECDH 派生，每个数据包都以 AES-256-GCM 加密。UDP 7441 只为您的地址开放，且仅在会话期间开放。

无需额外安装

主机代理内置于网关，查看器内置于客户端，两者随安装程序一起到达并自动更新。通常由主机主动连接客户端：地址候选通过已认证的 HTTPS 通道传递，无需第三方服务器即可穿透大多数 NAT。

双方均需 Windows 10 1903 或更新版本。要获得最低延迟，主机需要配备硬件编码器的 GPU（NVIDIA、Intel 或 AMD）；HEVC 需要客户端具备 GPU 解码器，否则串流会自动回退到 H.264。

SSH 也由同一把密钥把关，并配有控制台和 AI 助手

Linux 网关像关闭 RDP 一样关闭 SSH 端口。“SSH 控制台”磁贴打开的终端会自动输入已保存的密码，让常用命令随点随用，并建议接下来的命令：AI 助手可使用 Claude 或本地模型。

进一步了解 SSH 控制台

RDP FIDO Android 版——开放预测试

同一把密钥、同一个网关——现在可以在手机上使用。应用可连接受 RDP-FIDO-GATE 保护的 Windows 和 Linux 机器，而密钥可以是手机本身。主机端无需任何改动。

手机即密钥

P-256 密钥对在手机的安全硬件（StrongBox 或 TEE）中生成，只有在指纹或屏幕锁验证后才签名。对网关而言，它与 Windows Hello 是同一种硬件密钥。安全密钥同样可用：YubiKey 或任何 FIDO2 密钥可通过 NFC 使用，也可通过 OTG 转接器以 USB 方式使用。

口袋里的 FIDO Stream

同样的低延迟协议：AES-256-GCM 加密的 UDP、Reed–Solomon 丢包恢复、H.264、HEVC 或 AV1 直接送入手机硬件解码器，支持 90 Hz 和 120 Hz 屏幕，双向音频包括麦克风。

为游戏而生的操控

蓝牙和 USB 手柄在主机上显示为 Xbox 360 控制器并回传震动，可拖动布局的屏幕手柄，支持指针捕获的蓝牙鼠标，触控板模式，键盘和快捷键栏。

RDP——用于工作

触碰一次密钥即可开启 RDP 端口 90 秒，应用将连接交给已安装的 RDP 客户端——与桌面客户端启动 mstsc 完全一样。Windows 主机和使用 xrdp 的 Linux 主机同样支持。

加入预测试

在上架 Google Play 之前，我们向所有人开放此版本。目前应用仅在一部手机上验证过——我们需要其他芯片、其他 Android 版本、NFC 和 USB 密钥、手柄以及 120 Hz 屏幕。请安装 APK，连接您自己的网关，并告诉我们哪些正常、哪些不正常。

下载 APK 并允许从此来源安装；需要 Android 9 或更高版本。
在装有网关 1.15 或更高版本的主机上（Windows 或 Linux，Free 版即可）获取代码：RdpFidoGate.exe code 或 sudo rdpfido-gate code。
在应用中：“+” → 地址和用户名 → “注册密钥” → 手机、NFC 或 USB → 输入代码。然后点击卡片 → 确认 → 串流或 RDP。
通过联系表单或发送邮件至 support@new-imobile.com 告诉我们：手机型号、Android 版本、哪些正常、哪些不正常，以及应用日志（“Log”按钮）。

预测试版使用我们的开发者密钥签名；Google Play 版本的签名将不同，因此安装前需要先卸载预测试版。如果您希望在 Google Play 封闭测试开放时获得名额，请在邮件中附上您的 Google 账号邮箱。

下载 APK——0.9.1（预测试版）指南与已知限制 → 反馈测试结果 →

Android 9 或更高版本；“手机即密钥”需要指纹或屏幕锁；NFC 密钥需要 NFC，USB 密钥需要 OTG。主机：RDP-FIDO-GATE 1.15 或更高版本。应用免费，Free 和 Pro 网关均可使用。

屏幕截图

会话管理器和 gate 安装程序——这就是整个产品。

Free 与 Pro

免费开始。一次性升级，即可无限会话且无广告。

功能	Free	Pro
保存的会话	10	无限
FIDO2 硬件密钥网关	✓	✓
Windows Firewall 强制执行	✓	✓
广告磁贴	✓	✗
激活	14 天免费激活期	—
价格	Free	$49 一次性
FIDO Stream 低延迟模式	✓	✓
		购买 Pro — $49

激活后，您可在免费版限制内（最多 10 个会话）继续免费使用。

Setup & requirements

No hosting — install the gate on the target PC and the client on yours. Ports: gate 7440/TCP, RDP 3389/TCP, FIDO Stream 7441/UDP.

Host — run RdpFido-Setup.exe and choose “Host” (or RdpFidoGate-Setup.msi directly) as admin. The last page of the installer shows the host address, port 7440 and the one-time key enrollment code.
Port forwarding (for internet access) — if the host is behind a router/NAT, forward 7440/TCP and 3389/TCP to the host's LAN IP — plus 7441/UDP if you want FIDO Stream from the internet. Reserve a static LAN IP; use DDNS if your public IP is dynamic.
Client — run RdpFido-Setup.exe and choose “Client” (or RdpFidoClient-Setup.msi, no admin rights needed), activate by e-mail, add a session (host public IP/DDNS, gate port 7440, the one-time code), pick the protocol — RDP or FIDO Stream — and register your FIDO2 key.
Connect — pick the session and touch the key — the gate opens 3389 for your IP for ~90s and mstsc connects.

⚠️ Without forwarding ports 7440 and 3389 on the router, internet access will not work. RDP is closed from outside until you confirm with the key.

Full step-by-step guide →

面向中国企业远程访问的 RDP-FIDO-GATE

暴露在公网的 RDP 是勒索软件进入中小企业的最常见入口。RDP-FIDO-GATE 让 3389 端口保持关闭，只有触碰 FIDO2 硬件密钥后才为单个 IP 开放约 90 秒。

契合等保 2.0 与《网络安全法》的访问控制要求

等级保护对远程运维要求双因素身份鉴别；网络安全法要求采取技术措施防止未授权访问。RDP 前置的硬件密钥无需短信或可被钓鱼的验证应用即可满足。

仅用 Windows 自身机制，不依赖云

网关基于 Windows 防火墙、Windows WebAuthn API 和 DPAPI。访问链路中没有任何第三方服务，远程桌面服务器和域无需改动。

一次性付费，不按用户订阅

免费版含 10 个已保存会话；Pro 版 49 美元一次性买断，会话不限、无广告——适合分支机构、工厂产线和 IT 服务商。

常见问题

支持哪些密钥？

任何 Windows 可识别的 FIDO2 / WebAuthn 硬件密钥：YubiKey、飞天诚信 (Feitian)、SoloKeys 等。密钥在客户端按会话注册一次。

需要改动服务器吗？

不需要。网关通过 MSI 安装在主机上，客户端安装在您的电脑上。若主机在路由器后，请转发 7440/TCP 和 3389/TCP；动态 IP 可用 DDNS。

能满足等保或网络保险的要求吗？

它是一项技术措施：远程访问前的防钓鱼 MFA 加默认拒绝的防火墙，正是审计与保险公司核查的内容。本说明不构成法律意见。

价格是多少？

免费版：FIDO2 网关、防火墙控制、最多 10 个已保存会话、广告磁贴、14 天内激活。Pro 版：49 美元一次性付费，会话不限，无广告。地区价格在付款时显示。

文档

RDP-FIDO-GATE 的 PDF 文档:产品说明、安装、用户指南、支持与安全。文档为英文。

立即锁定你的远程桌面

免费下载网关与客户端，或用 Pro 解锁全部功能。

购买 Pro — $49

$49 一次性 · 无限会话 · 无广告