远程桌面主机设置：该开什么、该暴露什么

核验于 2026-10-292 分钟阅读

安全地开启 RDP、理解版本限制、消除证书警告，以及为什么把端口映射到公网是个坏主意。

测试环境Pro (26H2) / Server · 版本号 26300.9457 / 26100.33650 · x64

版本号: 26300.9457 / 26100.33650
版本: Pro (26H2) / Server
架构: x64
支持: 文档（E1）
证据: E1官方文档
核验日期: 2026-10-29
页面类型: 配置

一句话结论

RDP 在 专业版、企业版与 Server 上开箱可用；家庭版只能作为客户端。

三项设置决定它是否好用、是否安全：

启用远程桌面并只允许指定用户。
网络级别身份验证（NLA）——保持开启。
怎么连进来——局域网、VPN，或网关。绝不要映射 3389 端口。

启用

设置 → 系统 → 远程桌面 → 开，然后在“远程桌面用户”里添加账户。

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections
Get-LocalGroupMember -Group 'Remote Desktop Users' -ErrorAction SilentlyContinue
Get-NetFirewallRule -DisplayGroup 'Remote Desktop' | Select-Object Name,Enabled,Direction,Action

fDenyTSConnections = 0 表示已启用。防火墙规则按配置文件（域/专用/公用）分别存在——通常只在“专用”上开启才是你想要的。

NLA 与它为什么重要

有 NLA 时，客户端在会话创建之前完成认证，未认证的攻击者根本到不了登录界面。

注册表：HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\UserAuthentication = 1。

关掉它能让老客户端连上，同时把登录界面暴露给网络。任何可达的机器都不要关。

证书警告

“无法验证远程计算机的身份”出现是因为主机出示的是自签名证书。选项：

做法	结果
忽略，勾选“不再询问”	能用，但没有真正的身份校验
用域/GPO 签发的证书	警告消失，身份被验证
用 IP 连接	永远自签名

在可信局域网上，忽略很常见。经过任何不可信路径时，用 VPN，并把警告当作“你没有在验证主机”的信号。

端口与防火墙

默认 3389/TCP（部分传输还用 UDP）。
改端口不是安全措施——扫描器照样能找到。
局域网上，把防火墙规则限制在你的子网，而不是“任何”。

Set-NetFirewallRule -DisplayGroup 'Remote Desktop' -RemoteAddress 192.168.50.0/24

值得知道的话务行为

行为	为什么让人意外
连接会断开本地控制台会话	客户端系统只有一个交互会话
断开不等于注销	应用继续运行，会话保留
音视频重定向默认开启	可能采到客户端的麦克风
驱动器/打印机重定向	把本地资源带进会话
显示器数量与缩放	客户端设置，不是主机

服务器版允许多个并发会话；客户端版只有一个。

什么时候 RDP 是错的工具

帮别人——用快速助手（不开端口、不用账户）。
随时随地偶尔访问——VPN + RDP，不是裸 RDP。
无头服务器——RDP 可以，但多用户使用要确认 CAL 授权。

实验室边界

E1。RDP 行为与策略有微软文档依据。实验室虚拟机是专业版/LTSC，具备 RDP 能力，但本文未测试入站连接。