Cách Kiểm Tra Log IP Login VPS Windows Trên Remote Desktop (2026)

2. Cách 2: Sử Dụng Script PowerShell Trích Xuất Log IP Siêu Tốc

Nếu việc tra cứu từng Event ID thủ công làm mất nhiều thời gian, việc sử dụng tập lệnh PowerShell sẽ giúp bạn tự động lọc và hiển thị danh sách tất cả các IP đã đăng nhập thành công dưới dạng một bảng thống kê gọn gàng.

Quy trình thực hiện:

1. Bấm chọn thanh tìm kiếm của Windows trên VPS, gõ từ khóa PowerShell, nhấp chuột phải vào ứng dụng **Windows PowerShell** và chọn lệnh **Run as Administrator**.
2. Sao chép toàn bộ đoạn mã lọc chuyên sâu dưới đây và dán (Paste) vào cửa sổ dòng lệnh PowerShell rồi nhấn **Enter**:

$RDPLogs = Get-WinEvent -LogName "Microsoft-Windows-TerminalServices-LocalSessionManager/Operational" | Where-Object {$_.Id -eq 21 -or $_.Id -eq 25}
$RDPResults = foreach ($Log in $RDPLogs) {
    $XML = [xml]$Log.ToXml()
    [PSCustomObject]@{
        TimeCreated = $Log.TimeCreated
        EventID     = $Log.Id
        User        = $XML.Event.UserData.SessionLogonNotification.User
        SourceIP    = $XML.Event.UserData.SessionLogonNotification.Address
    }
}
$RDPResults | Out-GridView

Ứng dụng sẽ tự động khởi chạy một bảng giao diện đồ họa độc lập (Grid View). Tại đây, bạn sẽ thấy toàn bộ lịch sử đăng nhập được phân loại rõ ràng theo 4 cột: Mốc thời gian (TimeCreated), Mã sự kiện (EventID), Tài khoản (User) và địa chỉ IP kết nối (SourceIP), cho phép bạn thực hiện tìm kiếm hoặc lọc dải IP nghi vấn cực kỳ tiện lợi.

3. Troubleshooting: Xử Lý Khi Nhật Ký Log Bị Xóa Hoặc Ẩn Địa Chỉ IP

Trong thực tế vận hành hệ thống, đôi khi bạn truy cập vào Event Viewer nhưng nhận thấy danh mục trống rỗng hoặc địa chỉ IP nguồn hiển thị các ký tự bất thường. Hãy xử lý theo các tình huống kỹ thuật sau:

3.1 Log hiển thị Source Network Address là "LOCAL" hoặc "::1"

Nguyên nhân: Hiện tượng này xảy ra khi kết nối không xuất phát từ internet bên ngoài mà được thực hiện nội bộ ngay trên máy chủ ảo (Ví dụ: Bạn dùng phần mềm quản lý hoặc kết nối thông qua cổng cứu hộ Console VNC của nhà cung cấp).

Giải pháp: Đây là trạng thái an toàn, biểu thị tiến trình đăng nhập nội bộ hợp pháp, không phải do hacker tấn công qua cổng mạng Remote Desktop Port 3389.

3.2 Dung lượng log bị tràn dẫn đến mất dấu lịch sử cũ

Mặc định Windows Server thiết lập giới hạn dung lượng tệp lưu log Operational khá nhỏ (Khoảng 1MB). Khi đạt tới ngưỡng này, hệ thống sẽ tự động ghi đè dữ liệu mới lên các bản ghi cũ, làm mất đi các dữ liệu log an ninh quan trọng vài tuần trước đó.

Giải pháp tăng không gian lưu trữ nhật ký: Tại Event Viewer, nhấp chuột phải vào thư mục thư mục Operational -> chọn thuộc tính **Properties**. Tại ô **Maximum log size (KB)**, bạn tiến hành tăng thông số lưu trữ lên mức lớn hơn (Ví dụ: 20480 KB tương đương 20MB bộ nhớ) để đảm bảo hệ thống có đủ không gian lưu giữ lịch sử log trên VPS từ 3 đến 6 tháng liên tục.

4. Các Câu Hỏi Thường Gặp (FAQ)