# 远程桌面主机设置：该开什么、该暴露什么

> 安全地开启 RDP、理解版本限制、消除证书警告，以及为什么把端口映射到公网是个坏主意。

**测试环境**

- 版本号: 26300.9457 / 26100.33650
- 版本: Pro (26H2) / Server
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

RDP 在 **专业版、企业版与 Server** 上开箱可用；家庭版只能作为**客户端**。

三项设置决定它是否好用、是否安全：

1. **启用远程桌面**并只允许指定用户。
2. **网络级别身份验证（NLA）**——保持开启。
3. **怎么连进来**——局域网、VPN，或网关。绝不要映射 3389 端口。

## 启用

**设置 → 系统 → 远程桌面 → 开**，然后在"远程桌面用户"里添加账户。

```powershell
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections
Get-LocalGroupMember -Group 'Remote Desktop Users' -ErrorAction SilentlyContinue
Get-NetFirewallRule -DisplayGroup 'Remote Desktop' | Select-Object Name,Enabled,Direction,Action
```

`fDenyTSConnections = 0` 表示已启用。防火墙规则按配置文件（域/专用/公用）分别存在——通常只在"专用"上开启才是你想要的。

## NLA 与它为什么重要

有 NLA 时，客户端**在会话创建之前**完成认证，未认证的攻击者根本到不了登录界面。

注册表：`HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\UserAuthentication = 1`。

关掉它能让老客户端连上，同时把登录界面暴露给网络。任何可达的机器都不要关。

## 证书警告

"无法验证远程计算机的身份"出现是因为主机出示的是**自签名证书**。选项：

| 做法 | 结果 |
|---|---|
| 忽略，勾选"不再询问" | 能用，但没有真正的身份校验 |
| **用域/GPO 签发的证书** | 警告消失，身份被验证 |
| 用 IP 连接 | 永远自签名 |

在可信局域网上，忽略很常见。经过任何不可信路径时，用 VPN，并把警告当作"你没有在验证主机"的信号。

> **危险: 不要把 3389 映射到公网**
>
> 暴露的 RDP 是互联网上被暴力尝试最猛的服务之一，而一次 RDP 会话就是完整的交互式登录。用 VPN、RD 网关或零信任访问产品。端口映射 RDP 是家庭实验室变成僵尸网络成员的标准路径。

## 端口与防火墙

- 默认 **3389/TCP**（部分传输还用 UDP）。
- 改端口**不是**安全措施——扫描器照样能找到。
- 局域网上，把防火墙规则限制在你的子网，而不是"任何"。

```powershell
Set-NetFirewallRule -DisplayGroup 'Remote Desktop' -RemoteAddress 192.168.50.0/24
```

## 值得知道的话务行为

| 行为 | 为什么让人意外 |
|---|---|
| 连接会**断开本地控制台会话** | 客户端系统只有一个交互会话 |
| 断开不等于注销 | 应用继续运行，会话保留 |
| 音视频重定向默认开启 | 可能采到客户端的麦克风 |
| 驱动器/打印机重定向 | 把本地资源带进会话 |
| 显示器数量与缩放 | 客户端设置，不是主机 |

服务器版允许多个并发会话；客户端版只有一个。

## 什么时候 RDP 是错的工具

- **帮别人**——用快速助手（不开端口、不用账户）。
- **随时随地偶尔访问**——VPN + RDP，不是裸 RDP。
- **无头服务器**——RDP 可以，但多用户使用要确认 CAL 授权。

## 相关

- [快速助手](https://winbook.fyi/zh/windows/remote/quick-assist/)
- [局域网共享与 SMB 版本](https://winbook.fyi/zh/windows/remote/smb-shares/)
- [手机互联](https://winbook.fyi/zh/windows/remote/phone-link/)

## 实验室边界

E1。RDP 行为与策略有微软文档依据。实验室虚拟机是专业版/LTSC，具备 RDP 能力，但本文未测试入站连接。

## 来源

- [Microsoft Learn — 远程桌面服务](https://learn.microsoft.com/zh-cn/windows-server/remote/remote-desktop-services/)
- [Microsoft Learn — 远程桌面客户端](https://learn.microsoft.com/zh-cn/windows-server/remote/remote-desktop-services/clients/remote-desktop-clients)
- [Microsoft Learn — 快速助手](https://learn.microsoft.com/zh-cn/windows/client-management/quick-assist)

---

来源页面: https://winbook.fyi/zh/windows/remote/rdp-host/