несмотря на большое заблуждение, исходящее от незнания, как ещё защитить рдп, кроме как впн, работа рдп без впн в относительной безопасности возможна:
1. накатываем обновку последнюю стабильную на винсервер (винсервер минимум 2016, а так лучше 2019)
2.меняем логины и пароли на сложные (не только пароли, но и логины). user/@ser123 или administrator/@dmin123+- не подойдут, слишком легкие
3. настраиваем шифрование rdp и проверку подлинности на уровне сети (обязательно) в политиках
3. меняем порт со стандартного 3389 на кастомный
4. ставим софт от брутфорса (rdpguard 6.7.5/ipban, или их аналоги) ни в коем случае не выключаем встроенный фаер и uac
5. юзаем remoteapp, а не rdp
6. не раздаём юзерам админские права.
7. настраиваем бэкапы в несколько мест (Effector Saver/Iperius Backup или их аналоги) на другой комп по сети (сбор из шары по онли админской учётке в нерасшаренный комп в изолированной сети) + в облако, бэкапы обязательно должны быть в шифрованном парольном архиве.
p.s. у меня уже более 30 серваков подобным образом поднято в разных местах без впн, половине из них уже около 5 лет, полёт нормальный, без взломов