ВОЙТИ
    Иногда возникает потребность узнать кто подключался на тот или иной сервер по RDP. 

    С помощью логов которые пишет ОС Windows, можно получить информацию о том с каких IP и какие пользователи подключались к виртуальному серверу,  и когда они это делали. 

    Приведенная ниже инструкция может быть использована также на десктопных версиях Windows.

    Рассмотрим некоторые наиболее распространенные коды связанные со временем запуска и завершения работы сервера.

    1149:  Присутствие данного кода говорить об успешной аутентификации пользователя на сервере. (Remote Desktop Services: User authentication succeeded) 
    21: данный код говорить об успешном входе в систему, то-есть пользователь увидел окно рабочего стола.  (Remote Desktop Services: Session logon succeeded)
    24: это событие говорить об успешном отключении от RDP (Remote Desktop Services: Session has been disconnected)
    25: говорит об переподключении к RDP сессии. (Remote Desktop Services: Session reconnection succeeded) 
    23: пользователь нажал Logoff  и вышел из системы (Remote Desktop Services: Session logoff succeeded )
    39: пользователь лично отключился от RDP сессии (не просто закрыл RDP окно). Или его отключил другой пользователь или администратор.


    Как просмотреть данные события?

    Нажмите Win+R и введите eventvwr



    В левой части панели откройте «Журналы Windows => Система»



    В колонке Event ID мы увидим список событий, произошедших во время работы Windows. Журнал событий можно сортировать по идентификатору события.

    Для того что бы отсортировать нужные нам события, с правой стороны, выберем «Фильтр текущего журнала»


    Теперь введите нужные нам события, через запятую, 1149,39,25,24,23,21 и нажмите Ок.


    Теперь мы можем наблюдать журнал событий с завершением работы нашего сервера VPS.

    Данные ивенты, можно посмотреть в разных разделах. Например:

    EventId 1149,4624,4625 - фильтруем  в Windows Logs => Security

    EventId 25,24,21,39 - фильтруем  в Applications and Services Logs -> Microsoft -> Windows -> TerminalServices-LocalSessionManager -> Operational

    EventId 23 - Applications and Services Logs -> Microsoft -> Windows -> TerminalServices-LocalSessionManager -> Operationa

    Теперь вы можете самостоятельно проверить по кто и когда заходил по RDP на Ваш сервер.